搜索

配置和管理网络

download PDF
Red Hat Enterprise Linux 8

管理网络接口、防火墙和高级网络功能

Red Hat Customer Content Services

摘要

使用 Red Hat Enterprise Linux (RHEL)的网络功能,您可以配置主机以满足您组织的网络和安全要求。例如:
  • 您可以配置绑定、VLAN、网桥、隧道和其他网络类型,来将主机连接到网络。
  • 您可以为本地主机和整个网络构建性能关键防火墙。RHEL 包含数据包过滤软件,如 firewalld 服务、nftables 框架和 Express Data Path(XDP)。
  • RHEL 还支持高级网络功能,如基于策略的路由和多路径 TCP (MPTCP)。

对红帽文档提供反馈

我们感谢您对我们文档的反馈。让我们了解如何改进它。

通过 Jira 提交反馈(需要帐户)

  1. 登录到 Jira 网站。
  2. 单击顶部导航栏中的 Create
  3. Summary 字段中输入描述性标题。
  4. Description 字段中输入您对改进的建议。包括文档相关部分的链接。
  5. 点对话框底部的 Create

第 1 章 实现一致的网络接口命名

udev 设备管理器在 Red Hat Enterprise Linux 中实现一致的设备命名。设备管理器支持不同的命名方案,默认情况下,根据固件、拓扑和位置信息分配固定的名称。

如果没有一致的设备命名,Linux 内核通过组合固定前缀和索引来为网络接口分配名称。当内核初始化网络设备时,索引会增加。例如:eth0 代表启动时探测到的第一个以太网设备。如果您在系统中添加了另一个网络接口控制器,则内核设备名称的分配不再固定,因为重启后,设备可以以不同的顺序初始化。在这种情况下,内核可以以不同的方式命名设备。

要解决这个问题,udev 需分配一致的设备名称。它有以下优点:

  • 设备名称在重启后是稳定的。
  • 即使添加或删除了硬件,设备名称也会保持不变。
  • 因此,有问题的硬件可以被无缝地替换。
  • 网络命名是无状态的,不需要显式配置文件。
警告

通常,红帽不支持禁用了一致设备命名的系统。有关例外情况,请参阅 设置 net.ifnames=0 是否安全 解决方案。

1.1. udev 设备管理器如何重命名网络接口

要为网络接口实现一致的命名方案,udev 设备管理器按列出的顺序处理以下规则文件:

  1. 可选:/usr/lib/udev/rules.d/60-net.rules

    /usr/lib/udev/rules.d/60-net.rules 文件定义了已弃用的 /usr/lib/udev/rename_device 助手工具在 /etc/sysconfig/network-scripts/ifcfg-* 文件中搜索 HWADDR 参数。如果变量中设置的值与接口的 MAC 地址匹配,则助手工具会将接口重命名为 ifcfg 文件的 DEVICE 参数中设置的名称。

    如果系统只使用 keyfile 格式的 NetworkManager 连接配置文件,udev 会跳过这一步。

  2. 只在 Dell 系统上:/usr/lib/udev/rules.d/71-biosdevname.rules

    只有安装了 biosdevname 软件包,且规则文件定义了 biosdevname 工具根据其命名策略重命名了接口,如果其没有在之前的步骤中被重命名,该文件才存在。

    注意

    仅在 Dell 系统上安装和使用 biosdevname

  3. /usr/lib/udev/rules.d/75-net-description.rules

    此文件定义了 udev 如何检查网络接口,并在 udev-internal 变量中设置属性。然后,这些变量由 /usr/lib/udev/rules.d/80-net-setup-link.rules 文件在下一步中进行处理。其中一些属性可以未定义。

  4. /usr/lib/udev/rules.d/80-net-setup-link.rules

    此文件调用 udev 服务的 net_setup_link builtin,并且 udev 根据 /usr/lib/systemd/network/99-default.link 文件中 NamePolicy 参数中策略的顺序重命名接口。详情请查看 网络接口命名策略

    如果没有应用任何策略,则 udev 不会重命名接口。

1.2. 网络接口命名策略

默认情况下,udev 设备管理器使用 /usr/lib/systemd/network/99-default.link 文件来确定在重命名接口时要应用哪些设备命名策略。此文件中的 NamePolicy 参数定义 udev 使用哪些策略以及使用哪个顺序:

NamePolicy=kernel database onboard slot path

根据哪个策略与 NamePolicy 参数指定的首先匹配,下表描述了 udev 的不同操作:

policy描述名称示例

kernel

如果内核表示设备名称是可预测的,则 udev 不会重命名这个设备。

lo

database

此策略根据 udev 硬件数据库中的映射分配名称。详情请查看 hwdb (7) 手册页。

idrac

onboard

设备名称包含固件或者 BIOS 提供的索引号,用于板上的设备。

eno1

slot

设备名称包含固件或 BIOS 提供的 PCI Express (PCIe)热插拔插槽索引号。

ens1

path

设备名称包含硬件连接器的物理位置。

enp1s0

mac

设备名称包含 MAC 地址。默认情况下,Red Hat Enterprise Linux 不使用此策略,但管理员可以启用它。

enx525400d5e0fb

其他资源

1.3. 网络接口命名方案

udev 设备管理器使用设备驱动程序提供的某些稳定接口属性来生成一致的设备名称。

如果新的 udev 版本更改了服务为特定接口创建名称的方式,红帽会添加新的方案版本,并在 systemd.net-naming-scheme (7) 手册页中记录了详情。默认情况下,Red Hat Enterprise Linux (RHEL) 8 使用 rhel-8.0 命名方案,即使您安装或升级到更新的 RHEL 次版本。

如果要使用默认方案,您可以 切换网络接口命名方案

有关不同设备类型和平台的命名方案的详情,请查看 systemd.net-naming-scheme (7) 手册页。

1.4. 切换到不同的网络接口命名方案

默认情况下,Red Hat Enterprise Linux (RHEL) 8 使用 rhel-8.0 命名方案,即使您安装或升级到更新的 RHEL 次版本。虽然大多数情况下默认命名方案适合,但可能会有原因切换到不同的方案版本,例如:

  • 将新方案添加到接口名称时,如果设备添加了附加属性,如插槽号,则它可以帮助更好地识别设备。
  • 新方案可以防止 udev 回退到内核分配的设备名称(eth*)。如果驱动程序没有为两个或多个接口提供足够的唯一属性,以便为它们生成唯一名称。

先决条件

  • 您可以访问服务器的控制台。

步骤

  1. 列出网络接口:

    # ip link show
    2: eno1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...

    记录接口的 MAC 地址。

  2. 可选:显示网络接口的 ID_NET_NAMING_SCHEME 属性来识别 RHEL 当前使用的命名方案:

    # udevadm info --query=property --property=ID_NET_NAMING_SCHEME /sys/class/net/eno1'
    ID_NET_NAMING_SCHEME=rhel-8.0

    请注意,这个属性在 lo loopback 设备上不可用。

  3. net.naming-scheme=&lt;scheme> 选项附加到所有安装的内核的命令行中,例如:

    # grubby --update-kernel=ALL --args=net.naming-scheme=rhel-8.4
  4. 重启系统。

    # reboot
  5. 根据您记录的 MAC 地址,识别因不同的命名方案而更改的网络接口的新名称:

    # ip link show
    2: eno1np0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...

    切换方案后,在这个示例中,udev 名称为 MAC 地址为 00:00:5e:00:53:1a eno1np0 的设备,而在之前被命名为 eno1

  6. 确定哪个 NetworkManager 连接配置集使用与之前名称的接口:

    # nmcli -f device,name connection show
    DEVICE  NAME
    eno1  example_profile
    ...
  7. 将连接配置文件中的 connection.interface-name 属性设置为新接口名称:

    # nmcli connection modify example_profile connection.interface-name "eno1np0"
  8. 重新激活连接配置文件:

    # nmcli connection up example_profile

验证

  • 通过显示网络接口的 ID_NET_NAMING_SCHEME 属性来识别 RHEL 现在使用的命名方案:

    # udevadm info --query=property --property=ID_NET_NAMING_SCHEME /sys/class/net/eno1np0'
    ID_NET_NAMING_SCHEME=_rhel-8.4

1.5. 在 IBM Z 平台上确定可预测的 RoCE 设备名称

在 Red Hat Enterprise Linux (RHEL) 8.7 及更新版本上,udev 设备管理器为 IBM Z 上的 RoCE 接口设置名称,如下所示:

  • 如果主机对设备强制唯一标识符(UID),则 udev 会分配一个基于 UID 的一致的设备名称,如 eno<UID_in_decimal>
  • 如果主机没有为设备强制 UID,则行为取决于您的设置:

    • 默认情况下,udev 为设备使用无法预料的名称。
    • 如果您设置了 net.naming-scheme=rhel-8.7 内核命令行选项,则 udev 会分配一个基于设备功能标识符(FID)的一致的设备名称,例如 ens<FID_in_decimal>

在以下情况下,为 IBM Z 上的 RoCE 接口手动配置可预测的设备名称:

  • 您的主机运行 RHEL 8.6 或更早版本,并对设备强制 UID,并计划更新到 RHEL 8.7 或更高版本。

    升级到 RHEL 8.7 或更高版本后,udev 使用一致的接口名称。但是,如果您在更新前使用了无法预料的设备名称,NetworkManager 连接配置文件仍然使用这些名称,且不能激活,直到您更新了受影响的配置文件。

  • 您的主机运行 RHEL 8.7 或更高版本,且不强制 UID,您计划升级到 RHEL 9。

在使用 udev 规则或 systemd 链接文件手动重命名接口前,您必须确定可预测的设备名称。

先决条件

  • RoCE 控制器已安装在系统上。
  • sysfsutils 软件包已安装。

步骤

  1. 显示可用的网络设备,并记录 RoCE 设备的名称:

    # ip link show
    ...
    2: enP5165p0s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
    ...
  2. 显示 /sys/ 文件系统中的设备路径:

    # systool -c net -p
    Class = "net"
    
      Class Device = "enP5165p0s0"
      Class Device path = "/sys/devices/pci142d:00/142d:00:00.0/net/enP5165p0s0"
        Device = "142d:00:00.0"
        Device path = "/sys/devices/pci142d:00/142d:00:00.0"

    在下一步中使用 Device path 字段中显示的路径。

  3. 显示 <device_path>/uid_id_unique 文件的值,例如:

    # cat /sys/devices/pci142d:00/142d:00:00.0/uid_id_unique

    显示的值指示 UID 唯一性是否是强制的,并且您在以后的步骤中需要这个值。

  4. 确定唯一标识符:

    • 如果 UID 唯一性是强制的 (1),显示存储在 <device_path>/uid 文件中的 UID,例如:

      # cat /sys/devices/pci142d:00/142d:00:00.0/uid
    • 如果 UID 唯一性不是强制的(0),显示存储在 <device_path>/function_id 文件中的 FID,例如:

      # cat /sys/devices/pci142d:00/142d:00:00.0/function_id

    命令的输出显示十六进制的 UID 和 FID 值。

  5. 将十六进制标识符转换为十进制,例如:

    # printf "%d\n" 0x00001402
    5122
  6. 要确定可预测的设备名称,根据 UID 唯一性是否是强制的,将十进制格式的标识符附加到相应的前缀:

    • 如果 UID 唯一性是强制的,请将标识符附加到 eno 前缀,例如 eno5122
    • 如果没有强制 UID 唯一性,请将标识符附加到 ens 前缀,如 ens5122

后续步骤

其他资源

1.6. 在安装过程中为以太网接口自定义前缀

如果您不想将默认 device-naming 策略用于以太网接口,您可以在 Red Hat Enterprise Linux (RHEL)安装过程中设置一个自定义设备前缀。

重要

只有您在 RHEL 安装过程中设置了前缀,红帽才支持带有自定义以太网前缀的系统。不支持在已部署的系统上使用 prefixdevname 工具。

如果您在安装过程中设置了设备前缀,则 udev 服务在安装后对以太网接口使用 <prefix><index> 格式。例如,如果您设置了前缀 net,服务会将名称 net0net1 等分配给以太网接口。

udev 服务将索引附加到自定义前缀,并保留已知以太网接口的索引值。如果您添加一个接口,udev 会为新接口分配一个比之前分配的索引值大的索引值。

先决条件

  • 前缀由 ASCII 字符组成。
  • 前缀是一个字母数字字符串。
  • 前缀少于 16 个字符。
  • 前缀不会与任何其他熟知的网络接口前缀冲突,如 ethenoensem

步骤

  1. 引导 Red Hat Enterprise Linux 安装介质。
  2. 在引导管理器中,请按照以下步骤操作:

    1. 选择 Install Red Hat Enterprise Linux <version> 条目。
    2. Tab 编辑条目。
    3. net.ifnames.prefix=<prefix> 追加到在内核选项中。
    4. Enter 启动安装程序。
  3. 安装 Red Hat Enterprise Linux。

验证

  • 要验证接口名称,请显示网络接口:

    # ip link show
    ...
    2: net0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...

1.7. 使用 udev 规则配置用户定义的网络接口名称

您可以使用 udev 规则来实现反映您机构要求的自定义网络接口名称。

步骤

  1. 识别您要重命名的网络接口:

    # ip link show
    ...
    enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...

    记录接口的 MAC 地址。

  2. 显示接口的设备类型 ID:

    # cat /sys/class/net/enp1s0/type
    1
  3. 创建 /etc/udev/rules.d/70-persistent-net.rules 文件,并为您要重命名的每个接口添加一个规则:

    SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="<MAC_address>",ATTR{type}=="<device_type_id>",NAME="<new_interface_name>"
    重要

    如果您在引导过程中需要一致的设备名称,则只使用 70-persistent-net.rules 作为文件名。如果您重新生成 RAM 磁盘镜像,则 dracut 工具会在 initrd 镜像中添加具有此名称的文件。

    例如,使用以下规则将 MAC 地址为 00:00:5e:00:53:1a 的接口重命名为 provider0

    SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="00:00:5e:00:53:1a",ATTR{type}=="1",NAME="provider0"
  4. 可选:重新生成 initrd RAM 磁盘镜像:

    # dracut -f

    只有在 RAM 磁盘中需要网络功能时才需要这一步。例如,如果 root 文件系统存储在网络设备上,如 iSCSI,则是这种情况。

  5. 确定哪个 NetworkManager 连接配置文件使用您要重命名的接口:

    # nmcli -f device,name connection show
    DEVICE  NAME
    enp1s0  example_profile
    ...
  6. 在连接配置文件中取消 connection.interface-name 属性的设置:

    # nmcli connection modify example_profile connection.interface-name ""
  7. 临时配置连接配置文件,以匹配新的和以前的接口名称:

    # nmcli connection modify example_profile match.interface-name "provider0 enp1s0"
  8. 重启系统:

    # reboot
  9. 验证具有您在链接文件中指定的 MAC 地址的设备已重命名为 provider0

    # ip link show
    provider0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...
  10. 将连接配置文件配置为仅匹配新接口名称:

    # nmcli connection modify example_profile match.interface-name "provider0"

    现在,您已从连接配置文件中删除了旧接口名称。

  11. 重新激活连接配置文件:

    # nmcli connection up example_profile

其他资源

  • udev(7) 手册页

第 2 章 配置以太网连接

NetworkManager 为主机上安装的每个以太网适配器创建一个连接配置文件。默认情况下,此配置文件将 DHCP 用于 IPv4 和 IPv6 连接。修改此自动创建的配置文件,或在以下情况下添加新配置文件:

  • 网络需要自定义设置,如静态 IP 地址配置。
  • 您需要多个配置文件,因为主机在不同的网络中漫游。

Red Hat Enterprise Linux 为管理员提供不同的选项来配置以太网连接。例如:

  • 在命令行中使用 nmcli 配置连接。
  • 使用 nmtui 在基于文本的用户界面中配置连接。
  • 使用 GNOME Settings 菜单或 nm-connection-editor 应用程序在图形界面中配置连接。
  • 使用 nmstatectl 通过 Nmstate API 配置连接。
  • 使用 RHEL 系统角色在一个或多个主机上自动化连接的配置。
注意

如果要在在 Microsoft Azure 云中运行的主机上手动配置以太网连接,请禁用 cloud-init 服务或将其配置为忽略从云环境检索到的网络设置。否则,在下次重启手动配置的网络设置时,cloud-init 将被覆盖。

2.1. 使用 nmcli配置以太网连接

如果您通过以太网将主机连接到网络,您可以使用 nmcli 工具在命令行上管理连接的设置。

先决条件

  • 服务器配置中存在物理或虚拟以太网网络接口控制器(NIC)。

流程

  1. 列出 NetworkManager 连接配置文件:

    # nmcli connection show
    NAME                UUID                                  TYPE      DEVICE
    Wired connection 1  a5eb6490-cc20-3668-81f8-0314a27f3f75  ethernet  enp1s0

    默认情况下,NetworkManager 为主机中的每个 NIC 创建一个配置文件。如果您计划仅将这个 NIC 连接到特定的网络,请调整自动创建的配置文件。如果您计划使用不同的设置将这个 NIC 连接到网络,请为每个网络创建单独的配置文件。

  2. 如果要创建额外的连接配置文件,请输入:

    # nmcli connection add con-name <connection-name> ifname <device-name> type ethernet

    跳过此步骤来修改现有的配置文件。

  3. 可选:重命名连接配置文件:

    # nmcli connection modify "Wired connection 1" connection.id "Internal-LAN"

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

  4. 显示连接配置文件的当前设置:

    # nmcli connection show Internal-LAN
    ...
    connection.interface-name:     enp1s0
    connection.autoconnect:        yes
    ipv4.method:                   auto
    ipv6.method:                   auto
    ...
  5. 配置 IPv4 设置:

    • 要使用 DHCP,请输入:

      # nmcli connection modify Internal-LAN ipv4.method auto

      如果 ipv4.method 已设置为 auto(默认),请跳过这一步。

    • 要设置静态 IPv4 地址、网络掩码、默认网关、DNS 服务器和搜索域,请输入:

      # nmcli connection modify Internal-LAN ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv4.gateway 192.0.2.254 ipv4.dns 192.0.2.200 ipv4.dns-search example.com
  6. 配置 IPv6 设置:

    • 要使用无状态地址自动配置(SLAAC),请输入:

      # nmcli connection modify Internal-LAN ipv6.method auto

      如果 ipv6.method 已设置为 auto(默认),请跳过这一步。

    • 要设置静态 IPv6 地址、网络掩码、默认网关、DNS 服务器和搜索域,请输入:

      # nmcli connection modify Internal-LAN ipv6.method manual ipv6.addresses 2001:db8:1::fffe/64 ipv6.gateway 2001:db8:1::fffe ipv6.dns 2001:db8:1::ffbb ipv6.dns-search example.com
  7. 要在配置文件中自定义其他设置,请使用以下命令:

    # nmcli connection modify <connection-name> <setting> <value>

    用空格或分号将值括起来。

  8. 激活配置文件:

    # nmcli connection up Internal-LAN

验证

  1. 显示 NIC 的 IP 设置:

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. 显示 IPv4 默认网关:

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. 显示 IPv6 默认网关:

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. 显示 DNS 设置:

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    如果多个连接配置文件同时处于活动状态,则 nameserver 条目的顺序取决于这些配置文件中的 DNS 优先级值和连接类型。

  5. 使用 ping 程序来验证这个主机是否可以向其它主机发送数据包:

    # ping <host-name-or-IP-address>

故障排除

  • 验证网线是否插入到主机和交换机。
  • 检查链路失败是否只存在于此主机上,或者也存在于其它连接到同一交换机的主机上。
  • 验证网络电缆和网络接口是否如预期工作。执行硬件诊断步骤并替换有缺陷的电缆和网络接口卡。
  • 如果磁盘中的配置与设备中的配置不匹配,则启动或重启 NetworkManager 会创建一个代表该设备的配置的内存连接。有关详情以及如何避免这个问题,请参阅 NetworkManager 服务重启后会复制连接 解决方案。

其他资源

  • nm-settings(5) 手册页

2.2. 使用 nmcli 互动编辑器配置以太网连接

如果您通过以太网将主机连接到网络,您可以使用 nmcli 工具在命令行上管理连接的设置。

先决条件

  • 服务器配置中存在物理或虚拟以太网网络接口控制器(NIC)。

步骤

  1. 列出 NetworkManager 连接配置文件:

    # nmcli connection show
    NAME                UUID                                  TYPE      DEVICE
    Wired connection 1  a5eb6490-cc20-3668-81f8-0314a27f3f75  ethernet  enp1s0

    默认情况下,NetworkManager 为主机中的每个 NIC 创建一个配置文件。如果您计划仅将这个 NIC 连接到特定的网络,请调整自动创建的配置文件。如果您计划使用不同的设置将这个 NIC 连接到网络,请为每个网络创建单独的配置文件。

  2. 以互动模式启动 nmcli

    • 要创建额外的连接配置文件,请输入:

      # nmcli connection edit type ethernet con-name "<connection-name>"
    • 要修改现有的连接配置文件,请输入:

      # nmcli connection edit con-name "<connection-name>"
  3. 可选:重命名连接配置文件:

    nmcli> set connection.id Internal-LAN

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

    不要使用引号来设置包含空格的 ID,以避免 nmcli 将引号作为名称的一部分。例如,要将 Example Connection 设置为 ID,请输入 set connection.id Example Connection

  4. 显示连接配置文件的当前设置:

    nmcli> print
    ...
    connection.interface-name:     enp1s0
    connection.autoconnect:        yes
    ipv4.method:                   auto
    ipv6.method:                   auto
    ...
  5. 如果创建一个新的连接配置文件,请设置网络接口:

    nmcli> set connection.interface-name enp1s0
  6. 配置 IPv4 设置:

    • 要使用 DHCP,请输入:

      nmcli> set ipv4.method auto

      如果 ipv4.method 已设置为 auto(默认),请跳过这一步。

    • 要设置静态 IPv4 地址、网络掩码、默认网关、DNS 服务器和搜索域,请输入:

      nmcli> ipv4.addresses 192.0.2.1/24
      Do you also want to set 'ipv4.method' to 'manual'? [yes]: yes
      nmcli> ipv4.gateway 192.0.2.254
      nmcli> ipv4.dns 192.0.2.200
      nmcli> ipv4.dns-search example.com
  7. 配置 IPv6 设置:

    • 要使用无状态地址自动配置(SLAAC),请输入:

      nmcli> set ipv6.method auto

      如果 ipv6.method 已设置为 auto(默认),请跳过这一步。

    • 要设置静态 IPv6 地址、网络掩码、默认网关、DNS 服务器和搜索域,请输入:

      nmcli> ipv6.addresses 2001:db8:1::fffe/64
      Do you also want to set 'ipv6.method' to 'manual'? [yes]: yes
      nmcli> ipv6.gateway 2001:db8:1::fffe
      nmcli> ipv6.dns 2001:db8:1::ffbb
      nmcli> ipv6.dns-search example.com
  8. 保存并激活连接:

    nmcli> save persistent
  9. 保留为互动模式:

    nmcli> quit

验证

  1. 显示 NIC 的 IP 设置:

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. 显示 IPv4 默认网关:

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. 显示 IPv6 默认网关:

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. 显示 DNS 设置:

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    如果多个连接配置文件同时处于活动状态,则 nameserver 条目的顺序取决于这些配置文件中的 DNS 优先级值和连接类型。

  5. 使用 ping 程序来验证这个主机是否可以向其它主机发送数据包:

    # ping <host-name-or-IP-address>

故障排除

  • 验证网线是否插入到主机和交换机。
  • 检查链路失败是否只存在于此主机上,或者也存在于其它连接到同一交换机的主机上。
  • 验证网络电缆和网络接口是否如预期工作。执行硬件诊断步骤并替换有缺陷的电缆和网络接口卡。
  • 如果磁盘中的配置与设备中的配置不匹配,则启动或重启 NetworkManager 会创建一个代表该设备的配置的内存连接。有关详情以及如何避免这个问题,请参阅 NetworkManager 服务重启后会复制连接 解决方案

其他资源

  • nm-settings(5) 手册页
  • nmcli(1) 手册页

2.3. 使用 nmtui配置以太网连接

如果通过以太网将主机连接到网络,您可以使用 nmtui 应用程序在基于文本的用户界面中管理连接的设置。使用 nmtui 创建新配置文件,并在没有图形界面的主机上更新现有配置文件。

注意

nmtui 中:

  • 使用光标键导航。
  • 选择一个按钮并按 Enter 键。
  • 使用空格选择和 清除复选框

先决条件

  • 服务器配置中存在物理或虚拟以太网网络接口控制器(NIC)。

步骤

  1. 如果您不知道要在连接中使用的网络设备名称,显示可用的设备:

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    enp1s0     ethernet  unavailable             --
    ...
  2. 启动 nmtui

    # nmtui
  3. 选择 Edit a connection,然后按 Enter
  4. 选择是否添加新连接配置文件或修改现有连接配置文件:

    • 要创建新配置文件:

      1. 添加
      2. 从网络类型列表中选择 Ethernet,然后按 Enter
    • 要修改现有的配置文件,请从列表中选择配置文件,然后按 Enter
  5. 可选:更新连接配置文件的名称。

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

  6. 如果创建新连接配置文件,清在 Device 字段中输入网络设备名称。
  7. 根据您的环境,相应地在 IPv4 configurationIPv6 configuration 区中配置 IP 地址。为此,请按这些区域旁边的按钮,并选择:

    • Disabled,如果此连接不需要 IP 地址。
    • Automatic,如果 DHCP 服务器动态为这个 NIC 分配一个 IP 地址。
    • Manual,如果网络需要静态 IP 地址设置。在这种情况下,您必须填写更多字段:

      1. 在您要配置的协议旁边按 Show 以显示其他字段。
      2. Addresses 旁边的 Add,并以无类别域间路由(CIDR)格式输入 IP 地址和子网掩码。

        如果没有指定子网掩码,NetworkManager 会为 IPv4 地址设置 /32 子网掩码,为 IPv6 地址设置 /64 子网掩码。

      3. 输入默认网关的地址。
      4. DNS 服务器 旁边的 Add,并输入 DNS 服务器地址。
      5. 搜索域 旁边的 Add,并输入 DNS 搜索域。

    图 2.1. 具有静态 IP 地址设置的以太网连接示例

    nmtui ethernet static IP
  8. OK 创建并自动激活新连接。
  9. Back 返回到主菜单。
  10. 选择 Quit,然后按 Enter 键关闭 nmtui 应用程序。

验证

  1. 显示 NIC 的 IP 设置:

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. 显示 IPv4 默认网关:

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. 显示 IPv6 默认网关:

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. 显示 DNS 设置:

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    如果多个连接配置文件同时处于活动状态,则 nameserver 条目的顺序取决于这些配置文件中的 DNS 优先级值和连接类型。

  5. 使用 ping 程序来验证这个主机是否可以向其它主机发送数据包:

    # ping <host-name-or-IP-address>

故障排除

  • 验证网线是否插入到主机和交换机。
  • 检查链路失败是否只存在于此主机上,或者也存在于其它连接到同一交换机的主机上。
  • 验证网络电缆和网络接口是否如预期工作。执行硬件诊断步骤并替换有缺陷的电缆和网络接口卡。
  • 如果磁盘中的配置与设备中的配置不匹配,则启动或重启 NetworkManager 会创建一个代表该设备的配置的内存连接。有关详情以及如何避免这个问题,请参阅 NetworkManager 服务重启后会复制连接 解决方案。

2.4. 使用控制中心配置以太网连接

如果您通过以太网将主机连接到网络,您可以使用 GNOME Settings 菜单,通过图形界面管理连接的设置。

请注意,control-center 不支持与 nm-connection-editor 应用程序或 nmcli 实用程序一样多的配置选项。

先决条件

  • 服务器配置中存在物理或虚拟以太网网络接口控制器(NIC)。
  • 已安装了 GNOME。

步骤

  1. Super 键,输入 Settings,然后按 Enter 键。
  2. 在左侧导航中选择 Network
  3. 选择是否添加新连接配置文件或修改现有连接配置文件:

    • 要创建新配置文件,请单击 Ethernet 条目旁边的 + 按钮。
    • 要修改现有配置文件,请点击配置文件条目旁的齿轮图标。
  4. 可选:在 Identity 选项卡中,更新连接配置文件的名称。

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

  5. 根据您的环境,相应地在 IPv4IPv6 标签页中配置 IP 地址设置:

    • 要使用 DHCP 或 IPv6 无状态地址自动配置(SLAAC),请选择 Automatic (DHCP) 作为方法(默认)。
    • 要设置静态 IP 地址、网络掩码、默认网关、DNS 服务器和搜索域,请选择 Manual 作为方法,并在标签页中填写字段:

      IP 设置 gnome 设置
  6. 根据您是否添加或修改连接配置文件,点 AddApply 按钮保存连接。

    GNOME control-center 会自动激活连接。

验证

  1. 显示 NIC 的 IP 设置:

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. 显示 IPv4 默认网关:

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. 显示 IPv6 默认网关:

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. 显示 DNS 设置:

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    如果多个连接配置文件同时处于活动状态,则 nameserver 条目的顺序取决于这些配置文件中的 DNS 优先级值和连接类型。

  5. 使用 ping 程序来验证这个主机是否可以向其它主机发送数据包:

    # ping <host-name-or-IP-address>

故障排除步骤

  • 验证网线是否插入到主机和交换机。
  • 检查链路失败是否只存在于此主机上,或者也存在于其它连接到同一交换机的主机上。
  • 验证网络电缆和网络接口是否如预期工作。执行硬件诊断步骤并替换有缺陷的电缆和网络接口卡。
  • 如果磁盘中的配置与设备中的配置不匹配,则启动或重启 NetworkManager 会创建一个代表该设备的配置的内存连接。有关详情以及如何避免这个问题,请参阅 NetworkManager 服务重启后会复制连接 解决方案。

2.5. 使用 nm-connection-editor 配置以太网连接

如果通过以太网将主机连接到网络,您可以通过 nm-connection-editor 应用程序,使用图形界面管理连接的设置。

先决条件

  • 服务器配置中存在物理或虚拟以太网网络接口控制器(NIC)。
  • 已安装了 GNOME。

流程

  1. 打开终端窗口,输入:

    $ nm-connection-editor
  2. 选择是否添加新连接配置文件或修改现有连接配置文件:

    • 要创建新配置文件:

      1. + 按钮
      2. 选择 Ethernet 作为连接类型,然后单击 Create
    • 要修改现有配置文件,请双击配置文件条目。
  3. 可选:在 Connection Name 字段中更新配置文件的名称。

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

  4. 如果您创建新配置文件,请在 Ethernet 选项卡中选择设备:

    ethernet connection settings

  5. 根据您的环境,相应地在 IPv4 SettingsIPv6 Settings 选项卡中配置 IP 地址设置:

    • 要使用 DHCP 或 IPv6 无状态地址自动配置(SLAAC),请选择 Automatic (DHCP) 作为方法(默认)。
    • 要设置静态 IP 地址、网络掩码、默认网关、DNS 服务器和搜索域,请选择 Manual 作为方法,并在标签页中填写字段:

      IP 设置 nm 连接编辑器
  6. Save
  7. 关闭 nm-connection-editor

验证

  1. 显示 NIC 的 IP 设置:

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. 显示 IPv4 默认网关:

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. 显示 IPv6 默认网关:

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. 显示 DNS 设置:

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    如果多个连接配置文件同时处于活动状态,则 nameserver 条目的顺序取决于这些配置文件中的 DNS 优先级值和连接类型。

  5. 使用 ping 程序来验证这个主机是否可以向其它主机发送数据包:

    # ping <host-name-or-IP-address>

故障排除步骤

  • 验证网线是否插入到主机和交换机。
  • 检查链路失败是否只存在于此主机上,或者也存在于其它连接到同一交换机的主机上。
  • 验证网络电缆和网络接口是否如预期工作。执行硬件诊断步骤并替换有缺陷的电缆和网络接口卡。
  • 如果磁盘中的配置与设备中的配置不匹配,则启动或重启 NetworkManager 会创建一个代表该设备的配置的内存连接。有关详情以及如何避免这个问题,请参阅 NetworkManager 服务重启后会复制连接 解决方案。

2.6. 使用 nmstatectl配置带有静态 IP 地址的以太网连接

使用 nmstatectl 工具通过 Nmstate API 配置以太网连接。Nmstate API 确保设置配置后结果与配置文件匹配。如果有任何失败,nmstatectl 会自动回滚更改以避免系统处于不正确的状态。

先决条件

  • 服务器配置中存在物理或虚拟以太网网络接口控制器(NIC)。
  • nmstate 软件包已安装。

步骤

  1. 创建包含以下内容的 YAML 文件,如 ~/create-ethernet-profile.yml

    ---
    interfaces:
    - name: enp1s0
      type: ethernet
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: enp1s0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: enp1s0
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb

    这些设置使用以下设置为 enp1s0 设备定义一个以太网连接配置文件:

    • 静态 IPv4 地址 - 192.0.2.1,子网掩码为 /24
    • 静态 IPv6 地址 - 2001:db8:1::1,子网掩码为 /64
    • IPv4 默认网关 - 192.0.2.254
    • IPv6 默认网关 - 2001:db8:1::fffe
    • IPv4 DNS 服务器 - 192.0.2.200
    • IPv6 DNS 服务器 - 2001:db8:1::ffbb
    • DNS 搜索域 - example.com
  2. 将设置应用到系统:

    # nmstatectl apply ~/create-ethernet-profile.yml

验证

  1. 以 YAML 格式显示当前状态:

    # nmstatectl show enp1s0
  2. 显示 NIC 的 IP 设置:

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  3. 显示 IPv4 默认网关:

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  4. 显示 IPv6 默认网关:

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  5. 显示 DNS 设置:

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    如果多个连接配置文件同时处于活动状态,则 nameserver 条目的顺序取决于这些配置文件中的 DNS 优先级值和连接类型。

  6. 使用 ping 程序来验证这个主机是否可以向其它主机发送数据包:

    # ping <host-name-or-IP-address>

其他资源

  • nmstatectl(8) 手册页
  • /usr/share/doc/nmstate/examples/ 目录

2.7. 使用网络 RHEL 系统角色和接口名称,使用静态 IP 地址配置以太网连接

您可以使用 network RHEL 系统角色远程配置以太网连接。

前提条件

  • 您已准备好控制节点和受管节点
  • 以可在受管主机上运行 playbook 的用户登录到控制节点。
  • 用于连接到受管节点的帐户对其具有 sudo 权限。
  • 服务器配置中有一个物理或者虚拟以太网设备。
  • 受管节点使用 NetworkManager 配置网络。

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with static IP
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: enp1s0
                interface_name: enp1s0
                type: ethernet
                autoconnect: yes
                ip:
                  address:
                    - 192.0.2.1/24
                    - 2001:db8:1::1/64
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                state: up

    这些设置使用以下设置为 enp1s0 设备定义一个以太网连接配置文件:

    • 静态 IPv4 地址 - 192.0.2.1/24 子网掩码
    • 静态 IPv6 地址 - 2001:db8:1::1/64 子网掩码
    • IPv4 默认网关 - 192.0.2.254
    • IPv6 默认网关 - 2001:db8:1::fffe
    • IPv4 DNS 服务器 - 192.0.2.200
    • IPv6 DNS 服务器 - 2001:db8:1::ffbb
    • DNS 搜索域 - example.com
  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

2.8. 使用网络 RHEL 系统角色和设备路径,使用静态 IP 地址配置以太网连接

您可以使用 network RHEL 系统角色远程配置以太网连接。

您可以使用以下命令识别设备路径:

# udevadm info /sys/class/net/<device_name> | grep ID_PATH=

前提条件

  • 您已准备好控制节点和受管节点
  • 以可在受管主机上运行 playbook 的用户登录到控制节点。
  • 用于连接到受管节点的帐户对其具有 sudo 权限。
  • 服务器配置中有一个物理或者虚拟以太网设备。
  • 受管节点使用 NetworkManager 配置网络。

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with static IP
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: example
                match:
                  path:
                    - pci-0000:00:0[1-3].0
                    - &!pci-0000:00:02.0
                type: ethernet
                autoconnect: yes
                ip:
                  address:
                    - 192.0.2.1/24
                    - 2001:db8:1::1/64
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                state: up

    这些设置使用以下设置定义以太网连接配置文件:

    • 静态 IPv4 地址 - 192.0.2.1/24 子网掩码
    • 静态 IPv6 地址 - 2001:db8:1::1/64 子网掩码
    • IPv4 默认网关 - 192.0.2.254
    • IPv6 默认网关 - 2001:db8:1::fffe
    • IPv4 DNS 服务器 - 192.0.2.200
    • IPv6 DNS 服务器 - 2001:db8:1::ffbb
    • DNS 搜索域 - example.com

      本例中的 match 参数定义了 Ansible 将剧本应用到与 PCI ID 0000:00:0[1-3].0 匹配的设备,但没有 0000:00:02.0 设备。有关可以使用的特殊修饰符和通配符的详情,请查看 /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件中的 match 参数描述。

  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

2.9. 使用 nmstatectl配置带有动态 IP 地址的以太网连接

使用 nmstatectl 工具通过 Nmstate API 配置以太网连接。Nmstate API 确保设置配置后结果与配置文件匹配。如果有任何失败,nmstatectl 会自动回滚更改以避免系统处于不正确的状态。

先决条件

  • 服务器配置中存在物理或虚拟以太网网络接口控制器(NIC)。
  • 网络中有 DHCP 服务器。
  • nmstate 软件包已安装。

步骤

  1. 创建包含以下内容的 YAML 文件,如 ~/create-ethernet-profile.yml

    ---
    interfaces:
    - name: enp1s0
      type: ethernet
      state: up
      ipv4:
        enabled: true
        auto-dns: true
        auto-gateway: true
        auto-routes: true
        dhcp: true
      ipv6:
        enabled: true
        auto-dns: true
        auto-gateway: true
        auto-routes: true
        autoconf: true
        dhcp: true

    这些设置为 enp1s0 设备定义了一个以太网连接配置文件。连接从 DHCP 服务器检索 IPv4 地址、IPv6 地址、默认网关、路由、DNS 服务器和搜索域,以及 IPv6 无状态地址自动配置(SLAAC)。

  2. 将设置应用到系统:

    # nmstatectl apply ~/create-ethernet-profile.yml

验证

  1. 以 YAML 格式显示当前状态:

    # nmstatectl show enp1s0
  2. 显示 NIC 的 IP 设置:

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  3. 显示 IPv4 默认网关:

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  4. 显示 IPv6 默认网关:

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  5. 显示 DNS 设置:

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    如果多个连接配置文件同时处于活动状态,则 nameserver 条目的顺序取决于这些配置文件中的 DNS 优先级值和连接类型。

  6. 使用 ping 程序来验证这个主机是否可以向其它主机发送数据包:

    # ping <host-name-or-IP-address>

其他资源

  • nmstatectl(8) 手册页
  • /usr/share/doc/nmstate/examples/ 目录

2.10. 使用网络 RHEL 系统角色和接口名称,使用动态 IP 地址配置以太网连接

您可以使用 network RHEL 系统角色远程配置以太网连接。对于具有动态 IP 地址设置的连接,NetworkManager 会从 DHCP 服务器请求 IP 设置。

先决条件

  • 您已准备好控制节点和受管节点
  • 以可在受管主机上运行 playbook 的用户登录到控制节点。
  • 用于连接到受管节点的帐户对其具有 sudo 权限。
  • 服务器配置中有一个物理或者虚拟以太网设备。
  • 网络中有 DHCP 服务器
  • 受管节点使用 NetworkManager 配置网络。

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with dynamic IP
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: enp1s0
                interface_name: enp1s0
                type: ethernet
                autoconnect: yes
                ip:
                  dhcp4: yes
                  auto6: yes
                state: up

    这些设置为 enp1s0 设备定义了一个以太网连接配置文件。连接从 DHCP 服务器检索 IPv4 地址、IPv6 地址、默认网关、路由、DNS 服务器和搜索域,以及 IPv6 无状态地址自动配置(SLAAC)。

  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

2.11. 使用网络 RHEL 系统角色和设备路径,使用动态 IP 地址配置以太网连接

您可以使用 network RHEL 系统角色远程配置以太网连接。对于具有动态 IP 地址设置的连接,NetworkManager 会从 DHCP 服务器请求 IP 设置。

您可以使用以下命令识别设备路径:

# udevadm info /sys/class/net/<device_name> | grep ID_PATH=

先决条件

  • 您已准备好控制节点和受管节点
  • 以可在受管主机上运行 playbook 的用户登录到控制节点。
  • 用于连接到受管节点的帐户对其具有 sudo 权限。
  • 服务器配置中有一个物理或者虚拟以太网设备。
  • 网络中有 DHCP 服务器。
  • 受管主机使用 NetworkManager 配置网络。

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with dynamic IP
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: example
                match:
                  path:
                    - pci-0000:00:0[1-3].0
                    - &!pci-0000:00:02.0
                type: ethernet
                autoconnect: yes
                ip:
                  dhcp4: yes
                  auto6: yes
                state: up

    这些设置定义一个以太网连接配置文件。连接从 DHCP 服务器检索 IPv4 地址、IPv6 地址、默认网关、路由、DNS 服务器和搜索域,以及 IPv6 无状态地址自动配置(SLAAC)。

    match 参数定义 Ansible 将 play 应用到与 PCI ID 0000:00:0[1-3].0 匹配,而不是与 0000:00:02.0 匹配的设备。

  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

2.12. 按接口名称,使用单个连接配置文件配置多个以太网接口

在大多数情况下,一个连接配置文件包含一个网络设备的设置。但是,当您在连接配置文件中设置接口名称时,NetworkManager 也支持通配符。如果主机在具有动态 IP 地址分配的以太网之间漫游,则您可以使用此功能创建可用于多个以太网接口的单一连接配置文件。

先决条件

  • 服务器配置中存在多个物理或虚拟以太网设备。
  • 网络中有 DHCP 服务器。
  • 主机上不存在连接配置文件。

步骤

  1. 添加可应用于以 enp 开头的所有接口名称的连接配置文件:

    # nmcli connection add con-name "Wired connection 1" connection.multi-connect multiple match.interface-name enp* type ethernet

验证

  1. 显示单个连接配置文件的所有设置:

    # nmcli connection show "Wired connection 1"
    connection.id:                      Wired connection 1
    ...
    connection.multi-connect:           3 (multiple)
    match.interface-name:               enp*
    ...

    3 表示同时在连接配置集上活跃的接口数量,而不是连接配置文件中的网络接口数量。连接配置文件使用与 match.interface-name 参数中的模式匹配的所有设备,因此连接配置文件具有相同的通用唯一识别符(UUID)。

  2. 显示连接的状态:

    # nmcli connection show
    NAME                UUID                                  TYPE      DEVICE
    ...
    Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp7s0
    Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp8s0
    Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp9s0

其他资源

  • nmcli(1) 手册页
  • nm-settings(5) 手册页

2.13. 使用 PCI ID 为多个以太网接口配置一个连接配置文件

PCI ID 是连接到系统的设备的唯一标识符。连接配置文件根据 PCI ID 列表按匹配的接口来添加多个设备。您可以使用这个流程将多个设备 PCI ID 连接到一个连接配置文件。

先决条件

  • 服务器配置中存在多个物理或虚拟以太网设备。
  • 网络中有 DHCP 服务器。
  • 主机上不存在连接配置文件。

步骤

  1. 识别设备路径。例如,要显示以 enp 开头的所有接口的设备路径,请输入:

    # udevadm info /sys/class/net/enp | grep ID_PATH=*
    ...
    E: ID_PATH=pci-0000:07:00.0
    E: ID_PATH=pci-0000:08:00.0
  2. 添加可应用于匹配 0000:00:0[7-8].0 表达式的所有 PCI ID 的连接配置文件:

    # nmcli connection add type ethernet connection.multi-connect multiple match.path "pci-0000:07:00.0 pci-0000:08:00.0" con-name "Wired connection 1"

验证

  1. 显示连接的状态:

    # nmcli connection show
    NAME                 UUID                                  TYPE      DEVICE
    Wired connection 1   9cee0958-512f-4203-9d3d-b57af1d88466  ethernet  enp7s0
    Wired connection 1   9cee0958-512f-4203-9d3d-b57af1d88466  ethernet  enp8s0
    ...
  2. 显示连接配置集的所有设置:

    # nmcli connection show "Wired connection 1"
    connection.id:               Wired connection 1
    ...
    connection.multi-connect:    3 (multiple)
    match.path:                  pci-0000:07:00.0,pci-0000:08:00.0
    ...

    此连接配置文件使用 PCI ID 与 match.path 参数中的模式匹配的所有设备,因此连接配置文件具有相同的全局唯一标识符(UUID)。

其他资源

  • nmcli(1) 手册页
  • nm-settings(5) 手册页

第 3 章 配置网络绑定

网络绑定是一种组合或聚合物理和虚拟网络接口的方法,以提供高吞吐量或冗余的逻辑接口。在绑定中,内核只处理所有操作。您可以在不同类型的设备中创建绑定,如以太网设备或 VLAN。

Red Hat Enterprise Linux 为管理员提供不同的选项来配置团队设备。例如:

  • 使用 nmcli 使用命令行配置绑定连接。
  • 通过 RHEL web 控制台使用 Web 浏览器配置绑定连接。
  • 使用 nmtui 在基于文本的用户界面中配置绑定连接。
  • 使用 nm-connection-editor 应用程序在图形界面中配置绑定连接。
  • 使用 nmstatectl 通过 Nmstate API 配置绑定连接。
  • 使用 RHEL 系统角色在一个或多个主机上自动化绑定配置。

3.1. 了解控制器和端口接口的默认行为

在使用 NetworkManager 服务管理或排除团队或绑定端口接口故障时,请考虑以下默认行为:

  • 启动控制器接口不会自动启动端口接口。
  • 启动端口接口总会启动控制器接口。
  • 停止控制器接口也会停止端口接口。
  • 没有端口的控制器可以启动静态 IP 连接。
  • 没有端口的控制器在启动 DHCP 连接时会等待端口。
  • 当您添加具有载体的端口时,等待端口且具有 DHCP 连接的控制器会完成。
  • 当您添加不具有载体的端口时,等待端口且具有 DHCP 连接的控制器将继续等待。

3.2. 依赖绑定模式的上游交换机配置

根据您要使用的绑定模式,您必须在交换机上配置端口:

绑定模式交换机上的配置

0 - balance-rr

需要启用静态 EtherChannel,而不是链路聚合控制协议(LACP)协商。

1 - active-backup

交换机上不需要任何配置。

2 - balance-xor

需要启用静态 EtherChannel,而不是 LACP 协商。

3 - broadcast

需要启用静态 EtherChannel,而不是 LACP 协商。

4 - 802.3ad

需要启用 LACP 协商的 EtherChannel。

5 - balance-tlb

交换机上不需要任何配置。

6 - balance-alb

交换机上不需要任何配置。

有关如何配置交换机的详情,请查看交换机的文档。

重要

某些网络绑定的功能,比如故障切换机制,不支持不通过网络交换机的直接电缆连接。详情请查看是否支持直接连接的绑定?KCS 解决方案。

3.3. 使用 nmcli配置网络绑定

要在命令行中配置网络绑定,请使用 nmcli 工具。

先决条件

步骤

  1. 创建绑定接口:

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup"

    这个命令会创建一个使用 active-backup 模式、名为 bond0 的绑定。

    要额外设置介质独立接口(MII)监控间隔,请在 bond.options 属性中添加 miimon=interval 选项,例如:

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup,miimon=1000"
  2. 显示网络接口以及您要添加到绑定中的接口名称:

    # nmcli device status
    DEVICE   TYPE      STATE         CONNECTION
    enp7s0   ethernet  disconnected  --
    enp8s0   ethernet  disconnected  --
    bridge0  bridge    connected     bridge0
    bridge1  bridge    connected     bridge1
    ...

    在本例中:

    • 没有配置 enp7s0enp8s0 。要将这些设备用作端口,请在下一步中添加连接配置集。
    • bridge0bridge1 都有现有的连接配置文件。要将这些设备用作端口,请在下一步中修改其配置集。
  3. 为绑定分配接口:

    1. 如果没有配置您要分配给绑定的接口,为其创建新的连接配置集:

      # nmcli connection add type ethernet slave-type bond con-name bond0-port1 ifname enp7s0 master bond0
      # nmcli connection add type ethernet slave-type bond con-name bond0-port2 ifname enp8s0 master bond0

      这些命令为 enp7s0enp8s0 创建配置文件,并将它们添加到 bond0 连接中。

    2. 为绑定分配现有连接配置集:

      1. 将这些连接的 master 参数设置为 bond0

        # nmcli connection modify bridge0 master bond0
        # nmcli connection modify bridge1 master bond0

        这些命令将名为 bridge0bridge1 的现有连接配置文件分配给 bond0 连接。

      2. 重新激活连接:

        # nmcli connection up bridge0
        # nmcli connection up bridge1
  4. 配置 IPv4 设置:

    • 要将这个绑定设备用作其它设备的端口,请输入:

      # nmcli connection modify bond0 ipv4.method disabled
    • 要使用 DHCP,不需要任何操作。
    • 要为 bond0 连接设置静态 IPv4 地址、网络掩码、默认网关和 DNS 服务器设置,请输入:

      # nmcli connection modify bond0 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.dns-search 'example.com' ipv4.method manual
  5. 配置 IPv6 设置:

    • 要将这个绑定设备用作其它设备的端口,请输入:

      # nmcli connection modify bond0 ipv6.method disabled
    • 要使用无状态地址自动配置(SLAAC),不需要任何操作。
    • 要为 bond0 连接设置静态 IPv6 地址、网络掩码、默认网关和 DNS 服务器设置,请输入:

      # nmcli connection modify bond0 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual
  6. 可选:如果要在绑定端口上设置任何参数,请使用以下命令:

    # nmcli connection modify bond0-port1 bond-port.<parameter> <value>
  7. 激活连接:

    # nmcli connection up bond0
  8. 验证端口是否已连接,并且 CONNECTION 列是否显示端口的连接名称:

    # nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    enp7s0   ethernet  connected  bond0-port1
    enp8s0   ethernet  connected  bond0-port2

    当您激活连接的任何端口时,NetworkManager 也激活绑定,但不会激活它的其它端口。您可以配置 Red Hat Enterprise Linux 在启用绑定时自动启用所有端口:

    1. 启用绑定连接的 connection.autoconnect-slaves 参数:

      # nmcli connection modify bond0 connection.autoconnect-slaves 1
    2. 重新激活桥接:

      # nmcli connection up bond0

验证

  1. 从其中一个网络设备中临时删除网络电缆,并检查绑定中是否有其他设备处理流量。

    请注意,无法使用软件工具正确测试链路失败事件。停用连接的工具(如 nmcli ),只显示绑定驱动程序可以处理端口配置的更改,而不是实际的链接失败事件。

  2. 显示绑定状态:

    # cat /proc/net/bonding/bond0

3.4. 使用 RHEL web 控制台配置网络绑定

如果您希望使用基于 Web 浏览器的界面管理网络设置,请使用 RHEL web 控制台配置网络绑定。

先决条件

流程

  1. 在屏幕左侧的导航中选择 Networking 选项卡。
  2. Interfaces 部分点 Add bond
  3. 输入您要创建的绑定设备名称。
  4. 选择应该是绑定成员的接口。
  5. 选择绑定模式。

    如果您选择 Active backup,Web 控制台会显示额外的 Primary 字段,您可以在其中选择首选的活动设备。

  6. 设置链路监控模式。例如,当您使用 Adaptive 负载均衡 模式时,将它设置为 ARP
  7. 可选:调整监控间隔、链接延迟和连接延迟设置。通常,您只需要更改默认值以进行故障排除。

    绑定设置
  8. 应用
  9. 默认情况下,绑定使用动态 IP 地址。如果要设置静态 IP 地址:

    1. Interfaces 部分点绑定的名称。
    2. 点您要配置的协议旁的 Edit
    3. 选择 Addresses 旁的 Manual,并输入 IP 地址、前缀和默认网关。
    4. DNS 部分,点 + 按钮,并输入 DNS 服务器的 IP 地址。重复此步骤来设置多个 DNS 服务器。
    5. DNS search domains 部分中,点 + 按钮并输入搜索域。
    6. 如果接口需要静态路由,请在 Routes 部分配置它们。

      绑定团队网桥 vlan.ipv4
    7. 应用

验证

  1. 在屏幕左侧的导航中选择 Networking 选项卡,并检查接口上是否有传入和传出流量:

    bond 验证
  2. 从其中一个网络设备中临时删除网络电缆,并检查绑定中是否有其他设备处理流量。

    请注意,无法使用软件工具正确测试链路失败事件。取消激活连接的工具(如 Web 控制台)只显示处理成员配置更改且没有实际链路失败事件的能力。

  3. 显示绑定状态:

    # cat /proc/net/bonding/bond0

3.5. 使用 nmtui配置网络绑定

nmtui 应用程序为 NetworkManager 提供了一个基于文本的用户界面。您可以使用 nmtui 在没有图形界面的主机上配置网络绑定。

注意

nmtui 中:

  • 使用光标键导航。
  • 选择一个按钮并按 Enter 键。
  • 使用空格选择和 清除复选框

先决条件

  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。
  • 要将以太网设备用作绑定的端口,必须在服务器中安装物理或者虚拟以太网设备。

流程

  1. 如果您不知道您要在其上配置网络绑定的网络设备名称,请显示可用的设备:

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    enp7s0     ethernet  unavailable             --
    enp8s0     ethernet  unavailable             --
    ...
  2. 启动 nmtui

    # nmtui
  3. 选择 Edit a connection,然后按 Enter
  4. 添加
  5. 从网络类型列表中选择 Bond,然后按 Enter 键。
  6. 可选:为要创建的 NetworkManager 配置文件输入一个名称。

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

  7. Device 字段中输入要创建的绑定设备名称。
  8. 为要创建的绑定添加端口:

    1. Slaves 列表旁边的 Add
    2. 选择您要作为端口添加到绑定的接口类型,例如 Ethernet
    3. 可选:为这个绑定端口输入要创建的 NetworkManager 配置文件的名称。
    4. Device 字段中输入端口的设备名称。
    5. OK 返回绑定设置窗口。

      图 3.1. 将以太网设备作为端口添加到绑定

      nmtui bond add port
    6. 重复这些步骤,来向绑定添加更多的端口。
  9. 设置绑定模式。根据您设置的值,nmtui 会显示与所选模式相关的设置的额外字段。
  10. 根据您的环境,相应地在 IPv4 配置和 IPv 6 配置区中配置 IP 地址设置。为此,请按这些区域旁边的按钮,并选择:

    • Disabled,如果绑定不需要 IP 地址。
    • Automatic,如果 DHCP 服务器或无状态地址自动配置(SLAAC)动态将 IP 地址分配给绑定。
    • Manual,如果网络需要静态 IP 地址设置。在这种情况下,您必须填写更多字段:

      1. 在您要配置的协议旁边按 Show 以显示其他字段。
      2. Addresses 旁边的 Add,并以无类别域间路由(CIDR)格式输入 IP 地址和子网掩码。

        如果没有指定子网掩码,NetworkManager 会为 IPv4 地址设置 /32 子网掩码,为 IPv6 地址设置 /64 子网掩码。

      3. 输入默认网关的地址。
      4. DNS 服务器 旁边的 Add,并输入 DNS 服务器地址。
      5. 搜索域 旁边的 Add,并输入 DNS 搜索域。

    图 3.2. 具有静态 IP 地址设置的绑定连接的示例

    nmtui bond static IP
  11. OK 创建并自动激活新连接。
  12. Back 返回到主菜单。
  13. 选择 Quit,然后按 Enter 键关闭 nmtui 应用程序。

验证

  1. 从其中一个网络设备中临时删除网络电缆,并检查绑定中是否有其他设备处理流量。

    请注意,无法使用软件工具正确测试链路失败事件。停用连接的工具(如 nmcli ),只显示绑定驱动程序可以处理端口配置的更改,而不是实际的链接失败事件。

  2. 显示绑定状态:

    # cat /proc/net/bonding/bond0

3.6. 使用 nm-connection-editor 配置网络绑定

如果您将 Red Hat Enterprise Linux 与图形界面搭配使用,您可以使用 nm-connection-editor 应用程序配置网络绑定。

请注意:nm-connection-editor 只能向绑定添加新端口。要使用现有连接配置文件作为端口,请使用 nmcli 工具创建绑定,如使用 nmcli配置网络绑定 中所述。

先决条件

  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。
  • 要将以太网设备用作绑定的端口,必须在服务器中安装物理或者虚拟以太网设备。
  • 要使用 team、bond 或 VLAN 设备作为绑定的端口,请确保这些设备还没有配置。

步骤

  1. 打开一个终端,输入 nm-connection-editor

    $ nm-connection-editor
  2. 点击 + 按钮来添加一个新的连接。
  3. 选择 Bond 连接类型,然后单击 Create
  4. Bond 选项卡中:

    1. 可选:在 Interface name 字段中设置绑定接口的名称。
    2. Add 按钮将网络接口作为端口添加到绑定。

      1. 选择接口的连接类型。例如,为有线连接选择 Ethernet
      2. 可选:为端口设置连接名称。
      3. 如果您为以太网设备创建一个连接配置文件,请打开 Ethernet 选项卡,在 Device 字段中选择您要作为端口添加到绑定的网络接口。如果您选择了不同的设备类型,请相应地进行配置。请注意,您只能在没有配置的绑定中使用以太网接口。
      4. Save
    3. 对您要添加到绑定的每个接口重复前面的步骤:

      add nic to bond in nm connection editor

    4. 可选:设置其他选项,如介质独立接口(MII)监控间隔。
  5. IPv4 SettingsIPv6 Settings 标签页中配置 IP 地址设置:

    • 要将这个网桥设备用作其他设备的端口,请将 Method 字段设置为 Disabled
    • 要使用 DHCP,请将 Method 字段保留为默认值 Automatic (DHCP)
    • 要使用静态 IP 设置,请将 Method 字段设置为 Manual,并相应地填写字段:

      bond IP settings nm connection editor

  6. Save
  7. 关闭 nm-connection-editor

验证

  1. 从其中一个网络设备中临时删除网络电缆,并检查绑定中是否有其他设备处理流量。

    请注意,无法使用软件工具正确测试链路失败事件。停用连接的工具(如 nmcli ),只显示绑定驱动程序可以处理端口配置的更改,而不是实际的链接失败事件。

  2. 显示绑定状态:

    # cat /proc/net/bonding/bond0

3.7. 使用 nmstatectl配置网络绑定

使用 nmstatectl 工具通过 Nmstate API 配置网络绑定。Nmstate API 确保设置配置后结果与配置文件匹配。如果有任何失败,nmstatectl 会自动回滚更改以避免系统处于不正确的状态。

根据您的环境,相应地调整 YAML 文件。例如,要使用与绑定中以太网适配器不同的设备,请调整您在绑定中使用的端口的 base-iface 属性和 type 属性。

先决条件

  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。
  • 要将以太网设备用作绑定中的端口,必须在服务器中安装物理或者虚拟以太网设备。
  • 要在绑定中使用团队、网桥或 VLAN 设备作为端口,请在 port 列表中设置接口名称,并定义相应的接口。
  • nmstate 软件包已安装。

步骤

  1. 创建一个包含以下内容的 YAML 文件,如 ~/create-bond.yml

    ---
    interfaces:
    - name: bond0
      type: bond
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      link-aggregation:
        mode: active-backup
        port:
        - enp1s0
        - enp7s0
    - name: enp1s0
      type: ethernet
      state: up
    - name: enp7s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: bond0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: bond0
    
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb

    这些设置使用以下设置定义网络绑定:

    • 绑定中的网络接口:enp1s0enp7s0
    • 模式: active-backup
    • 静态 IPv4 地址:192.0.2.1,子网掩码为 /24
    • 静态 IPv6 地址:2001:db8:1::1子网掩码为 /64
    • IPv4 默认网关:192.0.2.254
    • IPv6 默认网关:2001:db8:1::fffe
    • IPv4 DNS 服务器:192.0.2.200
    • IPv6 DNS 服务器:2001:db8:1::ffbb
    • DNS 搜索域:example.com
  2. 将设置应用到系统:

    # nmstatectl apply ~/create-bond.yml

验证

  1. 显示设备和连接的状态:

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    bond0       bond      connected  bond0
  2. 显示连接配置集的所有设置:

    # nmcli connection show bond0
    connection.id:              bond0
    connection.uuid:            79cbc3bd-302e-4b1f-ad89-f12533b818ee
    connection.stable-id:       --
    connection.type:            bond
    connection.interface-name:  bond0
    ...
  3. 以 YAML 格式显示连接设置:

    # nmstatectl show bond0

其他资源

  • nmstatectl(8) 手册页
  • /usr/share/doc/nmstate/examples/ 目录

3.8. 使用 network RHEL 系统角色配置网络绑定

您可以使用 network RHEL 系统角色远程配置网络绑定。

前提条件

  • 您已准备好控制节点和受管节点
  • 以可在受管主机上运行 playbook 的用户登录到控制节点。
  • 用于连接到受管节点的帐户对其具有 sudo 权限。
  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure a network bond that uses two Ethernet ports
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              # Define the bond profile
              - name: bond0
                type: bond
                interface_name: bond0
                ip:
                  address:
                    - "192.0.2.1/24"
                    - "2001:db8:1::1/64"
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                bond:
                  mode: active-backup
                state: up
    
              # Add an Ethernet profile to the bond
              - name: bond0-port1
                interface_name: enp7s0
                type: ethernet
                controller: bond0
                state: up
    
              # Add a second Ethernet profile to the bond
              - name: bond0-port2
                interface_name: enp8s0
                type: ethernet
                controller: bond0
                state: up

    这些设置使用以下设置定义网络绑定:

    • 静态 IPv4 地址 - 192.0.2.1/24 子网掩码
    • 静态 IPv6 地址 - 2001:db8:1::1/64 子网掩码
    • IPv4 默认网关 - 192.0.2.254
    • IPv6 默认网关 - 2001:db8:1::fffe
    • IPv4 DNS 服务器 - 192.0.2.200
    • IPv6 DNS 服务器 - 2001:db8:1::ffbb
    • DNS 搜索域 - example.com
    • 绑定的端口 - enp7s0enp8s0
    • 绑定模式 - active-backup

      注意

      在绑定上设置 IP 配置,而不是在 Linux 绑定的端口上设置。

  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

3.9. 创建网络绑定以便在不中断 VPN 的情况下在以太网和无线连接间进行切换

将工作站连接到公司网络的 RHEL 用户通常会使用 VPN 访问远程资源。然而,如果工作站在以太网和 Wi-Fi 连接间切换,例如:如果您是从带以太网连接的 docking 站中释放的笔记本电脑,VPN 连接就中断。要避免这个问题,您可以在 active-backup 模式中创建使用以太网和 Wi-Fi 连接的网络绑定。

先决条件

  • 主机包含以太网和 Wi-Fi 设备。
  • 已创建以太网和 Wi-Fi 网络管理器连接配置集,且两个连接都可以独立工作。

    此流程使用以下连接配置文件来创建名为 bond0 的网络绑定:

    • enp11s0u1 以太网设备关联的 Docking_station
    • Wi-Fiwlp1s0 Wi-Fi 设备关联

流程

  1. active-backup 模式中创建一个绑定接口:

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup"

    这个命令将接口和连接配置文件命名为 bond0

  2. 配置绑定的 IPv4 设置:

    • 如果您的网络中的 DHCP 服务器为主机分配 IPv4 地址,则不需要任何操作。
    • 如果您的本地网络需要静态 IPv4 地址,请将地址、网络掩码、默认网关、DNS 服务器和 DNS 搜索域设为 bond0 连接:

      # nmcli connection modify bond0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify bond0 ipv4.gateway '192.0.2.254'
      # nmcli connection modify bond0 ipv4.dns '192.0.2.253'
      # nmcli connection modify bond0 ipv4.dns-search 'example.com'
      # nmcli connection modify bond0 ipv4.method manual
  3. 配置绑定的 IPv6 设置:

    • 如果您的网络中的路由器或者 DHCP 服务器为主机分配 IPv6 地址,则不需要任何操作。
    • 如果您的本地网络需要静态 IPv6 地址,请将地址、网络掩码、默认网关、DNS 服务器和 DNS 搜索域设为 bond0 连接:

      # nmcli connection modify bond0 ipv6.addresses '2001:db8:1::1/64'
      # nmcli connection modify bond0 ipv6.gateway '2001:db8:1::fffe'
      # nmcli connection modify bond0 ipv6.dns '2001:db8:1::fffd'
      # nmcli connection modify bond0 ipv6.dns-search 'example.com'
      # nmcli connection modify bond0 ipv6.method manual
  4. 显示连接配置集:

    # nmcli connection show
    NAME             UUID                                  TYPE      DEVICE
    Docking_station  256dd073-fecc-339d-91ae-9834a00407f9  ethernet  enp11s0u1
    Wi-Fi            1f1531c7-8737-4c60-91af-2d21164417e8  wifi      wlp1s0
    ...

    下一步需要连接配置集的名称和以太网设备名称。

  5. 为绑定分配以太网连接的配置:

    # nmcli connection modify Docking_station master bond0
  6. 为绑定分配 Wi-Fi 连接的连接配置集:

    # nmcli connection modify Wi-Fi master bond0
  7. 如果您的 Wi-Fi 网络使用 MAC 过滤来只允许列表中的 MAC 地址访问网络,请配置 NetworkManager 将活跃端口的 MAC 地址动态分配给绑定:

    # nmcli connection modify bond0 +bond.options fail_over_mac=1

    使用这个设置时,您必须将 Wi-Fi 设备的 MAC 地址设置为 allow 列表,而不是以太网和 Wi-Fi 设备的 MAC 地址。

  8. 将与以太连接关联的设备设置为绑定的主设备:

    # nmcli con modify bond0 +bond.options "primary=enp11s0u1"

    使用这个设置时,如果可用,绑定总是使用以太网连接。

  9. 配置当 bond0 设备激活时,NetworkManager 会自动激活端口:

    # nmcli connection modify bond0 connection.autoconnect-slaves 1
  10. 激活 bond0 连接:

    # nmcli connection up bond0

验证

  • 显示当前激活的设备,绑定及其端口的状态:

    # cat /proc/net/bonding/bond0
    Ethernet Channel Bonding Driver: v3.7.1 (April 27, 2011)
    
    Bonding Mode: fault-tolerance (active-backup) (fail_over_mac active)
    Primary Slave: enp11s0u1 (primary_reselect always)
    Currently Active Slave: enp11s0u1
    MII Status: up
    MII Polling Interval (ms): 1
    Up Delay (ms): 0
    Down Delay (ms): 0
    Peer Notification Delay (ms): 0
    
    Slave Interface: enp11s0u1
    MII Status: up
    Speed: 1000 Mbps
    Duplex: full
    Link Failure Count: 0
    Permanent HW addr: 00:53:00:59:da:b7
    Slave queue ID: 0
    
    Slave Interface: wlp1s0
    MII Status: up
    Speed: Unknown
    Duplex: Unknown
    Link Failure Count: 2
    Permanent HW addr: 00:53:00:b3:22:ba
    Slave queue ID: 0

3.10. 不同的网络绑定模式

Linux 绑定驱动程序提供链路聚合。绑定是并行封装多个网络接口的过程,以提供单个逻辑绑定接口。绑定接口的操作取决于也称为模式的绑定策略。不同的模式提供负载均衡或热待机服务。

存在以下模式:

Balance-rr (Mode 0)

balance-rr 使用循环算法,它按顺序将数据包从第一个可用端口传输到最后一个端口。这个模式提供负载平衡和容错。

这个模式需要切换端口聚合组(也称为 EtherChannel 或类似的端口分组)。EtherChannel 是一个端口链路聚合技术,用于将多个物理以太网链接分组到一个逻辑以太网链接中。

这个模式的缺陷在于它不适用于大量工作负载,以及 TCP 吞吐量或排序数据包交付非常重要。

Active-backup (Mode 1)

Active-backup 使用策略来确定在绑定中只有一个端口活跃。这个模式提供容错功能,不需要任何交换机配置。

如果活动端口失败,则备用端口将变为活动状态。绑定会向网络发送大量地址解析协议 (ARP) 响应。gratuitous ARP 强制执行 ARP 帧的接收器,以更新它们的转发表。Active-backup 模式传输一个 gratuitous ARP,宣布为主机维护连接的新路径。

primary 选项定义绑定接口的首选端口。

Balance-xor (Mode 2)

balance-xor 使用所选传输哈希策略来发送数据包。这个模式提供负载平衡、容错和需要切换配置来设置 Etherchannel 或类似的端口分组。

要改变数据包传输和平衡传输,此模式使用 xmit_hash_policy 选项。根据接口上流量的源或目的地,接口需要额外的负载均衡配置。请参阅 xmit_hash_policy bonding 参数

Broadcast (Mode 3)

广播使用在所有接口上传输每个数据包的策略。这个模式提供容错,需要交换机配置来设置 EtherChannel 或类似的端口分组。

这个模式的缺陷在于它不适用于大量工作负载,以及 TCP 吞吐量或排序数据包交付非常重要。

802.3ad (Mode 4)

802.3ad 使用同名的 IEEE 标准动态链路聚合策略。此模式提供容错功能。这个模式需要切换配置来设置链路聚合控制协议 (LACP) 端口分组。

这个模式会创建聚合组,它们共享相同的速度和双工设置,并使用活跃聚合器中的所有端口。根据接口上流量的源或目的地,此模式需要额外的负载平衡配置。

默认情况下,传出流量的端口选择取决于传输哈希策略。使用传输哈希策略的 xmit_hash_policy 选项更改端口选择和平衡传输。

802.3adBalance-xor 之间的差别是合规性。802.3ad 策略在端口聚合组之间协商 LACP。请参阅 xmit_hash_policy bonding 参数

Balance-tlb (Mode 5)

balance-tlb 使用传输负载均衡策略。这个模式提供容错、负载均衡和建立不需要任何交换机支持的频道绑定。

活动端口接收传入流量。如果活动端口失败,另一个则是接管故障端口的 MAC 地址。要确定哪个接口处理传出流量,请使用以下模式之一:

  • 0 :使用哈希分发策略在不进行负载均衡的情况下分发流量
  • 1: 利用负载均衡将流量分配到每个端口

    使用 bonding 选项 tlb_dynamic_lb=0,此绑定模式使用 xmit_hash_policy bonding 选项来均衡传输。primary 选项定义绑定接口的首选端口。

请参阅 xmit_hash_policy bonding 参数

Balance-alb (Mode 6)

balance-alb 使用自适应负载平衡策略。这个模式提供容错、负载平衡,且不需要任何特殊交换机支持。

此模式包含 balance-trans-mit 负载平衡 (balance-tlb) 和 IPv4 和 IPv6 流量接收负载均衡。绑定会截获本地系统发送的 ARP 回复,并覆盖绑定中某个端口的源硬件地址。ARP 协商管理接收负载平衡。因此,不同的端口为服务器使用不同的硬件地址。

primary 选项定义绑定接口的首选端口。使用 bonding 选项 tlb_dynamic_lb=0,此绑定模式使用 xmit_hash_policy bonding 选项来均衡传输。请参阅 xmit_hash_policy bonding 参数

其他资源

3.11. xmit_hash_policy bonding 参数

xmit_hash_policy 负载均衡参数在 balance-xor802.3adbalance-albbalance-tlb 模式中选择节点选择的传输散列策略。如果 tlb_dynamic_lb 参数为 0,则只适用于模式 5 和 6。此参数可能的值是 layer2, layer2+3, layer3+4, encap2+3, encap3+4, 和 vlan+srcmac

详情请查看表:

策略或网络层

Layer2

Layer2+3

Layer3+4

encap2+3

encap3+4

VLAN+srcmac

使用

源和目的地 MAC 地址和以太网协议类型的 XOR

源和目标 MAC 地址和 IP 地址的 XOR

源和目标端口和 IP 地址的 XOR

支持的隧道内的目的地 MAC 地址和 IP 地址的 XOR,如虚拟可扩展局域网 (VXLAN)。此模式依赖于 skb_flow_dissect() 函数来获取标头字段

受支持的隧道内的目标端口和 IP 地址的 XOR,如 VXLAN。此模式依赖于 skb_flow_dissect() 函数来获取标头字段

VLAN ID 和源 MAC 厂商和源 MAC 设备的 XOR

流量放置

在同一个底层网络接口上到特定网络对等的所有流量

同一底层网络接口上特定 IP 地址的所有流量

同一底层网络接口上特定 IP 地址和端口的所有流量

   

主要选择

如果网络流量在同一广播域中的这个系统和多个其他系统之间

如果此系统和多个其他系统间的网络流量会通过默认网关

如果此系统和其他系统之间的网络流量使用相同的 IP 地址,但会经历多个端口

封装的流量在源系统和多个其它系统中使用多个 IP 地址

封装的流量是源系统和其它使用多个端口号的系统间

如果绑定承载来自多个容器或虚拟机 (VM) 的网络流量,它会将其 MAC 地址直接公开给外部网络,如桥接网络,您无法配置模式 2 或模式 4 的交换机。

辅助选择

如果网络流量主要是此系统和默认网关后面的多个其他系统之间

如果网络流量主要是此系统和另一个系统间的

    

Compliant

802.3ad

802.3ad

Not 802.3ad

   

默认策略

如果没有提供配置,则这是默认策略

对于非 IP 流量,公式与 L2 传输策略相同

对于非 IP 流量,公式与 L2 传输策略相同

   

第 4 章 配置网络团队(team)

网络组是一种组合或聚合物理和虚拟网络接口的方法,以提供高吞吐量或冗余的逻辑接口。网络团队使用小的内核模块来实现数据包流和其他任务的用户空间服务的快速处理。因此,网络团队是一个易扩展的解决方案,来满足负载平衡和冗余的要求。

Red Hat Enterprise Linux 为管理员提供不同的选项来配置团队设备。例如:

  • 使用 nmcli 使用命令行配置团队连接。
  • 使用 RHEL web 控制台使用 Web 浏览器配置组连接。
  • 使用 nm-connection-editor 应用程序在图形界面中配置组连接。
重要

网络协作在 Red Hat Enterprise Linux 9 中已被弃用。如果您计划将服务器升级到将来的 RHEL 版本,请考虑使用内核绑定驱动程序作为替代方案。详情请参阅 配置网络绑定

4.1. 了解控制器和端口接口的默认行为

在使用 NetworkManager 服务管理或排除团队或绑定端口接口故障时,请考虑以下默认行为:

  • 启动控制器接口不会自动启动端口接口。
  • 启动端口接口总会启动控制器接口。
  • 停止控制器接口也会停止端口接口。
  • 没有端口的控制器可以启动静态 IP 连接。
  • 没有端口的控制器在启动 DHCP 连接时会等待端口。
  • 当您添加具有载体的端口时,等待端口且具有 DHCP 连接的控制器会完成。
  • 当您添加不具有载体的端口时,等待端口且具有 DHCP 连接的控制器将继续等待。

4.3. 使用 nmcli配置网络团队

要在命令行中配置网络团队,请使用 nmcli 实用程序。

重要

网络协作在 Red Hat Enterprise Linux 9 中已被弃用。如果您计划将服务器升级到将来的 RHEL 版本,请考虑使用内核绑定驱动程序作为替代方案。详情请参阅 配置网络绑定

先决条件

  • 已安装 teamdNetworkManager-team 软件包。
  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。
  • 要将以太网设备用作组的端口,必须在服务器中安装物理或者虚拟以太网设备并连接到交换机。
  • 要使用 bond、bridge 或 VLAN 设备作为团队的端口,您可以在创建团队时创建这些设备,或者预先创建它们,如下所述:

流程

  1. 创建团队接口:

    # nmcli connection add type team con-name team0 ifname team0 team.runner activebackup

    此命令创建一个使用 activebackup runner、名为 team0 的网络团队。

  2. 另外,还可设置链接监视器。例如,要在 team0 连接配置文件中设置 ethtool 链接监视器:

    # nmcli connection modify team0 team.link-watchers "name=ethtool"

    链路监视器支持不同的参数。要为链路监视器设置参数,请在 name 属性中以空格分隔的方式来指定它们。请注意,name 属性必须用引号括起。例如,要使用 ethtool 链接监视器,并将其 delay-up 参数设置为 2500 毫秒(2.5 秒):

    # nmcli connection modify team0 team.link-watchers "name=ethtool delay-up=2500"

    要设置多个链路监视器,每个都使用特定的参数,不同的连接监视器以逗号分隔。以下示例使用 delay-up 参数设置 ethtool 链接监视器,使用 source-hosttarget-host 参数设置 arp_ping 链路监视器:

    # nmcli connection modify team0 team.link-watchers "name=ethtool delay-up=2, name=arp_ping source-host=192.0.2.1 target-host=192.0.2.2"
  3. 显示网络接口,并记录您要添加到团队中的接口名称:

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp7s0  ethernet  disconnected  --
    enp8s0  ethernet  disconnected  --
    bond0   bond      connected  bond0
    bond1   bond      connected  bond1
    ...

    在本例中:

    • 没有配置 enp7s0enp8s0 。要将这些设备用作端口,请在下一步中添加连接配置集。请注意,您只能在没有分配给任何连接的团队中使用以太网接口。
    • bond0bond1 已有连接配置文件。要将这些设备用作端口,请在下一步中修改其配置集。
  4. 为团队分配端口接口:

    1. 如果没有配置您要分配给团队的接口,为其创建新的连接配置集:

      # nmcli connection add type ethernet slave-type team con-name team0-port1 ifname enp7s0 master team0
      # nmcli connection add type ethernet slave--type team con-name team0-port2 ifname enp8s0 master team0

      这些命令为 enp7s0enp8s0 创建配置文件,并将它们添加到 team0 连接中。

    2. 为团队分配现有连接配置集:

      1. 将这些连接的 master 参数设置为 team0

        # nmcli connection modify bond0 master team0
        # nmcli connection modify bond1 master team0

        这些命令将名为 bond0bond1 的现有连接配置文件分配给 team0 连接。

      2. 重新激活连接:

        # nmcli connection up bond0
        # nmcli connection up bond1
  5. 配置 IPv4 设置:

    • 要将这个团队设备用作其它设备的端口,请输入:

      # nmcli connection modify team0 ipv4.method disabled
    • 要使用 DHCP,不需要任何操作。
    • 要为 team0 连接设置静态 IPv4 地址、网络掩码、默认网关和 DNS 服务器设置,请输入:

      # nmcli connection modify team0 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.dns-search 'example.com' ipv4.method manual
  6. 配置 IPv6 设置:

    • 要将这个团队设备用作其它设备的端口,请输入:

      # nmcli connection modify team0 ipv6.method disabled
    • 要使用无状态地址自动配置(SLAAC),不需要任何操作。
    • 要为 team0 连接设置静态 IPv6 地址、网络掩码、默认网关和 DNS 服务器设置,请输入:

      # nmcli connection modify team0 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual
  7. 激活连接:

    # nmcli connection up team0

验证

  • 显示团队状态:

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

    在这个示例中,两个端口都是上线的。

4.4. 使用 RHEL web 控制台配置网络团队

如果您希望使用基于 Web 浏览器的界面管理网络设置,请使用 RHEL web 控制台来配置网络团队。

重要

网络协作在 Red Hat Enterprise Linux 9 中已被弃用。如果您计划将服务器升级到将来的 RHEL 版本,请考虑使用内核绑定驱动程序作为替代方案。详情请参阅 配置网络绑定

先决条件

步骤

  1. 在屏幕左侧的导航中选择 Networking 选项卡。
  2. Interfaces 部分点 Add team
  3. 输入您要创建的团队设备名称。
  4. 选择应该是团队端口的接口。
  5. 选择团队的运行程序。

    如果您选择 Load balancing802.3ad LACP,Web 控制台会显示额外的 Balancer 字段。

  6. 设置链接监视器:

    • 如果您选择 Ethtool,请设置链接并关闭延迟。
    • 如果您设置了 ARP pingNSNA ping,还要设置 ping 间隔并 ping 目标。
    团队设置
  7. 应用
  8. 默认情况下,团队使用动态 IP 地址。如果要设置静态 IP 地址:

    1. Interfaces 部分点团队的名称。
    2. 点您要配置的协议旁的 Edit
    3. 选择 Addresses 旁的 Manual,并输入 IP 地址、前缀和默认网关。
    4. DNS 部分,点 + 按钮,并输入 DNS 服务器的 IP 地址。重复此步骤来设置多个 DNS 服务器。
    5. DNS search domains 部分中,点 + 按钮并输入搜索域。
    6. 如果接口需要静态路由,请在 Routes 部分配置它们。

      绑定团队网桥 vlan.ipv4
    7. 应用

验证

  1. 在屏幕左侧的导航中选择 Networking 选项卡,并检查接口上是否有传入和传出流量。

    团队验证
  2. 显示团队状态:

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

    在这个示例中,两个端口都是上线的。

4.5. 使用 nm-connection-editor 配置网络团队

如果您将 Red Hat Enterprise Linux 与图形界面搭配使用,您可以使用 nm-connection-editor 应用程序配置网络团队。

请注意:nm-connection-editor 只能向团队添加新端口。要使用现有连接配置文件作为端口,请使用 nmcli 工具创建团队,如 使用 nmcli配置网络团队 中所述。

重要

网络协作在 Red Hat Enterprise Linux 9 中已被弃用。如果您计划将服务器升级到将来的 RHEL 版本,请考虑使用内核绑定驱动程序作为替代方案。详情请参阅 配置网络绑定

先决条件

  • 已安装 teamdNetworkManager-team 软件包。
  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。
  • 要将以太网设备用作组的端口,必须在服务器中安装物理或者虚拟以太网设备。
  • 要使用 team、bond 或 VLAN 设备作为团队的端口,请确保这些设备还没有配置。

步骤

  1. 打开一个终端,输入 nm-connection-editor

    $ nm-connection-editor
  2. 点击 + 按钮来添加一个新的连接。
  3. 选择 Team 连接类型,然后单击 Create
  4. Team 选项卡中:

    1. 可选:在 Interface name 字段中设置团队接口的名称。
    2. Add 按钮为网络接口添加新连接配置集,并将配置集作为端口添加到团队。

      1. 选择接口的连接类型。例如,为有线连接选择 Ethernet
      2. 可选:为端口设置连接名称。
      3. 如果您为以太网设备创建连接配置文件,请打开 Ethernet 选项卡,在 Device 字段中选择您要作为端口添加到团队的网络接口。如果您选择了不同的设备类型,请相应地进行配置。请注意,您只能在没有分配给任何连接的团队中使用以太网接口。
      4. Save
    3. 对您要添加到团队的每个接口重复前面的步骤。

      add nic to team in nm connection editor

    4. Advanced 按钮将高级选项设置为团队连接。

      1. Runner 选项卡中,选择 runner。
      2. Link Watcher 选项卡中,设置链接监视器及其可选设置。
      3. 确定
  5. IPv4 SettingsIPv6 Settings 标签页中配置 IP 地址设置:

    • 要将这个网桥设备用作其他设备的端口,请将 Method 字段设置为 Disabled
    • 要使用 DHCP,请将 Method 字段保留为默认值 Automatic (DHCP)
    • 要使用静态 IP 设置,请将 Method 字段设置为 Manual,并相应地填写字段:

      team IP settings nm connection editor

  6. Save
  7. 关闭 nm-connection-editor

验证

  • 显示团队状态:

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

第 5 章 配置 VLAN 标记

Virtual Local Area Network (VLAN) 是物理网络中的一个逻辑网络。当 VLAN 接口通过接口时,VLAN 接口标签带有 VLAN ID 的数据包,并删除返回的数据包的标签。您可以在另一个接口(如以太网、绑定、团队或桥接设备)上创建 VLAN 接口。这些接口称为 父接口

Red Hat Enterprise Linux 为管理员提供不同的选项来配置 VLAN 设备。例如:

  • 使用 nmcli 使用命令行配置 VLAN 标记。
  • 通过 RHEL web 控制台使用 Web 浏览器配置 VLAN 标记。
  • 使用 nmtui 在基于文本的用户界面中配置 VLAN 标记。
  • 使用 nm-connection-editor 应用程序在图形界面中配置连接。
  • 使用 nmstatectl 通过 Nmstate API 配置连接。
  • 使用 RHEL 系统角色在一个或多个主机上自动化 VLAN 配置。

5.1. 使用 nmcli配置 VLAN 标记

您可以使用 nmcli 实用程序在命令行中配置 Virtual Local Area Network (VLAN) 标记。

先决条件

  • 您计划用作虚拟 VLAN 接口的父接口支持 VLAN 标签。
  • 如果您在绑定接口之上配置 VLAN:

    • 绑定的端口是上线的。
    • 这个绑定没有使用 fail_over_mac=follow 选项进行配置。VLAN 虚拟设备无法更改其 MAC 地址以匹配父设备的新 MAC 地址。在这种情况下,流量仍会与不正确的源 MAC 地址一同发送。
    • 这个绑定通常不会预期从 DHCP 服务器或 IPv6 自动配置获取 IP 地址。在创建绑定时通过设置 ipv4.method=disableipv6.method=ignore 选项来确保它。否则,如果 DHCP 或 IPv6 自动配置在一段时间后失败,接口可能会关闭。
  • 主机连接到的交换机被配置为支持 VLAN 标签。详情请查看您的交换机文档。

流程

  1. 显示网络接口:

    # nmcli device status
    DEVICE   TYPE      STATE         CONNECTION
    enp1s0   ethernet  disconnected  enp1s0
    bridge0  bridge    connected     bridge0
    bond0    bond      connected     bond0
    ...
  2. 创建 VLAN 接口。例如,要创建一个使用 enp1s0 作为其父接口,使用 VLAN ID 10 标记数据包,名为 vlan10 的 VLAN 接口,请输入:

    # nmcli connection add type vlan con-name vlan10 ifname vlan10 vlan.parent enp1s0 vlan.id 10

    请注意,VLAN 必须在范围 04094 之间。

  3. 默认情况下,VLAN 连接会继承上级接口的最大传输单元(MTU)。另外,还可设置不同的 MTU 值:

    # nmcli connection modify vlan10 ethernet.mtu 2000
  4. 配置 IPv4 设置:

    • 要将这个 VLAN 设备用作其它设备的端口,请输入:

      # nmcli connection modify vlan10 ipv4.method disabled
    • 要使用 DHCP,不需要任何操作。
    • 要为 vlan10 连接设置静态 IPv4 地址、网络掩码、默认网关和 DNS 服务器设置,请输入:

      # nmcli connection modify vlan10 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.method manual
  5. 配置 IPv6 设置:

    • 要将这个 VLAN 设备用作其它设备的端口,请输入:

      # nmcli connection modify vlan10 ipv6.method disabled
    • 要使用无状态地址自动配置(SLAAC),不需要任何操作。
    • 要为 vlan10 连接设置静态 IPv6 地址、网络掩码、默认网关和 DNS 服务器设置,请输入:

      # nmcli connection modify vlan10 ipv6.addresses '2001:db8:1::1/32' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.method manual
  6. 激活连接:

    # nmcli connection up vlan10

验证

  • 验证设置:

    # ip -d addr show vlan10
    4: vlan10@enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:72:2f:6e brd ff:ff:ff:ff:ff:ff promiscuity 0
        vlan protocol 802.1Q id 10 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute vlan10
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::8dd7:9030:6f8e:89e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

其他资源

  • nm-settings(5) 手册页

5.2. 使用 RHEL web 控制台配置 VLAN 标记

如果您希望使用基于 Web 浏览器的界面管理网络设置,请使用 RHEL web 控制台配置 VLAN 标记。

先决条件

  • 您计划用作虚拟 VLAN 接口的父接口支持 VLAN 标签。
  • 如果您在绑定接口之上配置 VLAN:

    • 绑定的端口是上线的。
    • 这个绑定没有使用 fail_over_mac=follow 选项进行配置。VLAN 虚拟设备无法更改其 MAC 地址以匹配父设备的新 MAC 地址。在这种情况下,流量仍会与不正确的源 MAC 地址一同发送。
    • 这个绑定通常不会预期从 DHCP 服务器或 IPv6 自动配置获取 IP 地址。禁用 IPv4 和 IPv6 协议创建绑定以确保它。否则,如果 DHCP 或 IPv6 自动配置在一段时间后失败,接口可能会关闭。
  • 主机连接到的交换机被配置为支持 VLAN 标签。详情请查看您的交换机文档。

流程

  1. 在屏幕左侧的导航中选择 Networking 选项卡。
  2. Interfaces 部分点 Add VLAN
  3. 选择父设备。
  4. 输入 VLAN ID。
  5. 输入 VLAN 设备的名称,或保留自动生成的名称。

    VLAN 设置
  6. 应用
  7. 默认情况下,VLAN 设备使用动态 IP 地址。如果要设置静态 IP 地址:

    1. Interfaces 部分中的 VLAN 设备名称。
    2. 点您要配置的协议旁的 Edit
    3. 选择 Addresses 旁的 Manual,并输入 IP 地址、前缀和默认网关。
    4. DNS 部分,点 + 按钮,并输入 DNS 服务器的 IP 地址。重复此步骤来设置多个 DNS 服务器。
    5. DNS search domains 部分中,点 + 按钮并输入搜索域。
    6. 如果接口需要静态路由,请在 Routes 部分配置它们。

      绑定团队网桥 vlan.ipv4
    7. 应用

验证

  • 在屏幕左侧的导航中选择 Networking 选项卡,并检查接口上是否有传入和传出流量:

    VLAN 验证

5.3. 使用 nmtui配置 VLAN 标记

nmtui 应用程序为 NetworkManager 提供了一个基于文本的用户界面。您可以使用 nmtui 在没有图形界面的主机上配置 VLAN 标签。

注意

nmtui 中:

  • 使用光标键导航。
  • 选择一个按钮并按 Enter 键。
  • 使用空格选择和 清除复选框

先决条件

  • 您计划用作虚拟 VLAN 接口的父接口支持 VLAN 标签。
  • 如果您在绑定接口之上配置 VLAN:

    • 绑定的端口是上线的。
    • 这个绑定没有使用 fail_over_mac=follow 选项进行配置。VLAN 虚拟设备无法更改其 MAC 地址以匹配父设备的新 MAC 地址。在这种情况下,流量仍会与不正确的源 MAC 地址一同发送。
    • 这个绑定通常不会预期从 DHCP 服务器或 IPv6 自动配置获取 IP 地址。在创建绑定时通过设置 ipv4.method=disableipv6.method=ignore 选项来确保它。否则,如果 DHCP 或 IPv6 自动配置在一段时间后失败,接口可能会关闭。
  • 主机连接到的交换机被配置为支持 VLAN 标签。详情请查看您的交换机文档。

步骤

  1. 如果您不知道要在其上配置 VLAN 标签的网络设备名称,请显示可用的设备:

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    enp1s0     ethernet  unavailable             --
    ...
  2. 启动 nmtui

    # nmtui
  3. 选择 Edit a connection,然后按 Enter
  4. 添加
  5. 从网络类型列表中选择 VLAN,然后按 Enter 键。
  6. 可选:为要创建的 NetworkManager 配置文件输入一个名称。

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

  7. Device 字段中输入要创建的 VLAN 设备名称。
  8. Parent 字段中输入您要在其上配置 VLAN 标记的设备名称。
  9. 输入 VLAN ID。ID 必须在 04094 之间。
  10. 根据您的环境,相应地在 IPv4 配置和 IPv 6 配置区中配置 IP 地址设置。为此,请按这些区域旁边的按钮,并选择:

    • Disabled,如果此 VLAN 设备不需要 IP 地址,或者您想要将其用作其它设备的端口。
    • Automatic,如果 DHCP 服务器或无状态地址自动配置(SLAAC)将 IP 地址动态分配给 VLAN 设备。
    • Manual,如果网络需要静态 IP 地址设置。在这种情况下,您必须填写更多字段:

      1. 在您要配置的协议旁边按 Show 以显示其他字段。
      2. Addresses 旁边的 Add,并以无类别域间路由(CIDR)格式输入 IP 地址和子网掩码。

        如果没有指定子网掩码,NetworkManager 会为 IPv4 地址设置 /32 子网掩码,为 IPv6 地址设置 /64 子网掩码。

      3. 输入默认网关的地址。
      4. DNS 服务器 旁边的 Add,并输入 DNS 服务器地址。
      5. 搜索域 旁边的 Add,并输入 DNS 搜索域。

    图 5.1. 具有静态 IP 地址设置的 VLAN 连接示例

    nmtui vlan 静态 IP
  11. OK 创建并自动激活新连接。
  12. Back 返回到主菜单。
  13. 选择 Quit,然后按 Enter 键关闭 nmtui 应用程序。

验证

  • 验证设置:

    # ip -d addr show vlan10
    4: vlan10@enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:72:2f:6e brd ff:ff:ff:ff:ff:ff promiscuity 0
        vlan protocol 802.1Q id 10 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute vlan10
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::8dd7:9030:6f8e:89e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

5.4. 使用 nm-connection-editor 配置 VLAN 标记

您可以使用 nm-connection-editor 应用程序在图形界面中配置 Virtual Local Area Network (VLAN) 标记。

先决条件

  • 您计划用作虚拟 VLAN 接口的父接口支持 VLAN 标签。
  • 如果您在绑定接口之上配置 VLAN:

    • 绑定的端口是上线的。
    • 这个绑定没有使用 fail_over_mac=follow 选项进行配置。VLAN 虚拟设备无法更改其 MAC 地址以匹配父设备的新 MAC 地址。在这种情况下,流量仍会与不正确的源 MAC 地址一同发送。
  • 主机已连接,以支持 VLAN 标签。详情请查看您的交换机文档。

步骤

  1. 打开一个终端,输入 nm-connection-editor

    $ nm-connection-editor
  2. 点击 + 按钮来添加一个新的连接。
  3. 选择 VLAN 连接类型,然后单击 Create
  4. VLAN 选项卡中:

    1. 选择上级接口。
    2. 选择 VLAN ID。请注意,VLAN 必须在 04094 范围内。
    3. 默认情况下,VLAN 连接会继承上级接口的最大传输单元(MTU)。另外,还可设置不同的 MTU 值。
    4. 另外,还可设置 VLAN 接口的名称以及其它特定 VLAN 选项。

      vlan settings nm connection editor

  5. IPv4 SettingsIPv6 Settings 标签页中配置 IP 地址设置:

    • 要将这个网桥设备用作其他设备的端口,请将 Method 字段设置为 Disabled
    • 要使用 DHCP,请将 Method 字段保留为默认值 Automatic (DHCP)
    • 要使用静态 IP 设置,请将 Method 字段设置为 Manual,并相应地填写字段:

      vlan IP settings nm connection editor

  6. Save
  7. 关闭 nm-connection-editor

验证

  1. 验证设置:

    # ip -d addr show vlan10
    4: vlan10@enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:d5:e0:fb brd ff:ff:ff:ff:ff:ff promiscuity 0
        vlan protocol 802.1Q id 10 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute vlan10
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::8dd7:9030:6f8e:89e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

5.5. 使用 nmstatectl配置 VLAN 标记

使用 nmstatectl 工具通过 Nmstate API 配置 Virtual Local Area Network VLAN。Nmstate API 确保设置配置后结果与配置文件匹配。如果有任何失败,nmstatectl 会自动回滚更改以避免系统处于不正确的状态。

根据您的环境,相应地调整 YAML 文件。例如,要使用与 VLAN 中以太网适配器不同的设备,请调整您在 VLAN 中使用的端口的 base-iface 属性和 type 属性。

先决条件

  • 要将以太网设备用作 VLAN 中的端口,必须在服务器中安装物理或者虚拟以太网设备。
  • nmstate 软件包已安装。

步骤

  1. 创建一个包含以下内容的 YAML 文件,如 ~/create-vlan.yml

    ---
    interfaces:
    - name: vlan10
      type: vlan
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      vlan:
        base-iface: enp1s0
        id: 10
    - name: enp1s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: vlan10
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: vlan10
    
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb

    这些设置定义一个 ID 为 10 的 VLAN,它使用 enp1s0 设备。作为子设备,VLAN 连接有以下设置:

    • 静态 IPv4 地址 - 192.0.2.1,子网掩码为 /24
    • 静态 IPv6 地址 - 2001:db8:1::1,子网掩码为 /64
    • IPv4 默认网关 - 192.0.2.254
    • IPv6 默认网关 - 2001:db8:1::fffe
    • IPv4 DNS 服务器 - 192.0.2.200
    • IPv6 DNS 服务器 - 2001:db8:1::ffbb
    • DNS 搜索域 - example.com
  2. 将设置应用到系统:

    # nmstatectl apply ~/create-vlan.yml

验证

  1. 显示设备和连接的状态:

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    vlan10      vlan      connected  vlan10
  2. 显示连接配置集的所有设置:

    # nmcli connection show vlan10
    connection.id:              vlan10
    connection.uuid:            1722970f-788e-4f81-bd7d-a86bf21c9df5
    connection.stable-id:       --
    connection.type:            vlan
    connection.interface-name:  vlan10
    ...
  3. 以 YAML 格式显示连接设置:

    # nmstatectl show vlan0

其他资源

  • nmstatectl(8) 手册页
  • /usr/share/doc/nmstate/examples/ 目录

5.6. 使用 network RHEL 系统角色配置 VLAN 标记

您可以使用 network RHEL 系统角色配置 VLAN 标记。这个示例在这个以太网连接之上添加了一个以太网连接和 ID 为 10 的 VLAN。作为子设备,VLAN 连接包含 IP、默认网关和 DNS 配置。

根据您的环境,相应地进行调整。例如:

  • 若要将 VLAN 用作其他连接中的端口(如绑定),请省略 ip 属性,并在子配置中设置 IP 配置。
  • 若要在 VLAN 中使用 team、bridge 或 bond 设备,请调整您在 VLAN 中使用的端口的 interface_name类型 属性。

前提条件

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure a VLAN that uses an Ethernet connection
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              # Add an Ethernet profile for the underlying device of the VLAN
              - name: enp1s0
                type: ethernet
                interface_name: enp1s0
                autoconnect: yes
                state: up
                ip:
                  dhcp4: no
                  auto6: no
    
              # Define the VLAN profile
              - name: enp1s0.10
                type: vlan
                ip:
                  address:
                    - "192.0.2.1/24"
                    - "2001:db8:1::1/64"
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                vlan_id: 10
                parent: enp1s0
                state: up

    这些设置定义在 enp1s0 设备之上操作的 VLAN。VLAN 接口有以下设置:

    • 静态 IPv4 地址 - 192.0.2.1/24 子网掩码
    • 静态 IPv6 地址 - 2001:db8:1::1/64 子网掩码
    • IPv4 默认网关 - 192.0.2.254
    • IPv6 默认网关 - 2001:db8:1::fffe
    • IPv4 DNS 服务器 - 192.0.2.200
    • IPv6 DNS 服务器 - 2001:db8:1::ffbb
    • DNS 搜索域 - example.com
    • VLAN ID - 10

      VLAN 配置文件中的 parent 属性将 VLAN 配置为在 enp1s0 设备之上运行。作为子设备,VLAN 连接包含 IP、默认网关和 DNS 配置。

  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

第 6 章 配置网络桥接

网络桥接是一个链路层设备,它可根据 MAC 地址列表转发网络间的流量。网桥通过侦听网络流量并了解连接到每个网络的主机来构建 MAC 地址表。例如,您可以使用 Red Hat Enterprise Linux 主机上的软件桥接模拟硬件桥接或在虚拟化环境中,将虚拟机(VM)集成到与主机相同的网络中。

桥接需要在桥接应该连接的每个网络中有一个网络设备。当您配置网桥时,网桥被称为 controller,其使用的设备为 ports

您可以在不同类型的设备中创建桥接,例如:

  • 物理和虚拟以太网设备
  • 网络绑定
  • 网络团队(team)
  • VLAN 设备

由于 IEEE 802.11 标准指定在 Wi-Fi 中使用 3 个地址帧以便有效地使用随机时间,您无法通过 Ad-Hoc 或者 Infrastructure 模式中的 Wi-Fi 网络配置网桥。

6.1. 使用 nmcli配置网络桥接

要在命令行中配置网络桥接,请使用 nmcli 实用程序。

先决条件

步骤

  1. 创建网桥接口:

    # nmcli connection add type bridge con-name bridge0 ifname bridge0

    这个命令会创建一个名为 bridge0 的网桥,输入:

  2. 显示网络接口,并记录您要添加到网桥中的接口名称:

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp7s0  ethernet  disconnected  --
    enp8s0  ethernet  disconnected  --
    bond0   bond      connected     bond0
    bond1   bond      connected     bond1
    ...

    在本例中:

    • 没有配置 enp7s0enp8s0 。要将这些设备用作端口,请在下一步中添加连接配置集。
    • bond0bond1 已有连接配置文件。要将这些设备用作端口,请在下一步中修改其配置集。
  3. 将接口分配给网桥。

    1. 如果没有配置您要分配给网桥的接口,为其创建新的连接配置集:

      # nmcli connection add type ethernet slave-type bridge con-name bridge0-port1 ifname enp7s0 master bridge0
      # nmcli connection add type ethernet slave-type bridge con-name bridge0-port2 ifname enp8s0 master bridge0

      这些命令为 enp7s0enp8s0 创建配置文件,并将它们添加到 bridge0 连接中。

    2. 如果要为网桥分配现有连接配置集:

      1. 将这些连接的 master 参数设置为 bridge0

        # nmcli connection modify bond0 master bridge0
        # nmcli connection modify bond1 master bridge0

        这些命令将名为 bond0bond1 的现有连接配置文件分配给 bridge0 连接。

      2. 重新激活连接:

        # nmcli connection up bond0
        # nmcli connection up bond1
  4. 配置 IPv4 设置:

    • 要将这个网桥设备用作其它设备的端口,请输入:

      # nmcli connection modify bridge0 ipv4.method disabled
    • 要使用 DHCP,不需要任何操作。
    • 要为 bridge0 连接设置静态 IPv4 地址、网络掩码、默认网关和 DNS 服务器设置,请输入:

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.dns-search 'example.com' ipv4.method manual
  5. 配置 IPv6 设置:

    • 要将这个网桥设备用作其它设备的端口,请输入:

      # nmcli connection modify bridge0 ipv6.method disabled
    • 要使用无状态地址自动配置(SLAAC),不需要任何操作。
    • 要为 bridge0 连接设置静态 IPv6 地址、网络掩码、默认网关和 DNS 服务器设置,请输入:

      # nmcli connection modify bridge0 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual
  6. 可选:配置网桥的其他属性。例如,要将 bridge0 的生成树协议(STP)优先级设为 16384,请输入:

    # nmcli connection modify bridge0 bridge.priority '16384'

    默认情况下启用 STP。

  7. 激活连接:

    # nmcli connection up bridge0
  8. 验证端口是否已连接,并且 CONNECTION 列是否显示端口的连接名称:

    # nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    enp7s0   ethernet  connected  bridge0-port1
    enp8s0   ethernet  connected  bridge0-port2

    当您激活连接的任何端口时,NetworkManager 也会激活网桥,但不会激活它的其它端口。您可以配置 Red Hat Enterprise Linux 在启用桥接时自动启用所有端口:

    1. 启用网桥连接的 connection.autoconnect-slaves 参数:

      # nmcli connection modify bridge0 connection.autoconnect-slaves 1
    2. 重新激活桥接:

      # nmcli connection up bridge0

验证

  • 使用 ip 工具来显示作为特定网桥端口的以太网设备的链接状态:

    # ip link show master bridge0
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff
  • 使用 bridge 工具来显示作为任意网桥设备端口的以太网设备状态:

    # bridge link show
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
    5: enp9s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state forwarding priority 32 cost 100
    6: enp11s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state blocking priority 32 cost 100
    ...

    要显示特定以太网设备的状态,请使用 bridge link show dev < ethernet_device_name> 命令。

6.2. 使用 RHEL web 控制台配置网桥

如果您希望通过基于 Web 浏览器的界面管理网络设置,请使用 RHEL web 控制台来配置网桥。

前提条件

流程

  1. 在屏幕左侧的导航中选择 Networking 选项卡。
  2. Interfaces 部分点 Add bridge
  3. 输入您要创建的网桥设备名称。
  4. 选择应该是网桥端口的接口。
  5. 可选:启用 Spanning tree 协议(STP) 功能,以避免桥接循环和广播。

    网桥设置
  6. 应用
  7. 默认情况下,网桥使用动态 IP 地址。如果要设置静态 IP 地址:

    1. Interfaces 部分,点网桥的名称。
    2. 点您要配置的协议旁的 Edit
    3. 选择 Addresses 旁的 Manual,并输入 IP 地址、前缀和默认网关。
    4. DNS 部分,点 + 按钮,并输入 DNS 服务器的 IP 地址。重复此步骤来设置多个 DNS 服务器。
    5. DNS search domains 部分中,点 + 按钮并输入搜索域。
    6. 如果接口需要静态路由,请在 Routes 部分配置它们。

      绑定团队网桥 vlan.ipv4
    7. 应用

验证

  1. 在屏幕左侧的导航中选择 Networking 选项卡,并检查接口上是否有传入和传出流量:

    网桥验证

6.3. 使用 nmtui配置网桥

nmtui 应用程序为 NetworkManager 提供了一个基于文本的用户界面。您可以使用 nmtui 在没有图形界面的主机上配置网桥。

注意

nmtui 中:

  • 使用光标键导航。
  • 选择一个按钮并按 Enter 键。
  • 使用空格选择和 清除复选框

前提条件

  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。
  • 要将以太网设备用作网桥的端口,必须在服务器中安装物理或者虚拟以太网设备。

流程

  1. 如果您不知道您要在其上配置网桥的网络设备名称,请显示可用的设备:

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    enp7s0     ethernet  unavailable             --
    enp8s0     ethernet  unavailable             --
    ...
  2. 启动 nmtui

    # nmtui
  3. 选择 Edit a connection,并按 Enter
  4. 添加
  5. 从网络类型列表中选择 Bridge,然后按 Enter
  6. 可选:为要创建的 NetworkManager 配置文件输入一个名称。

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

  7. Device 字段中输入要创建的网桥设备名称。
  8. 将端口添加到要创建的网桥中:

    1. Slaves 列表旁边的 Add
    2. 选择您要作为端口添加到网桥的接口类型,例如 Ethernet
    3. 可选:为这个网桥端口输入要创建的 NetworkManager 配置文件的名称。
    4. Device 字段中输入端口的设备名称。
    5. OK 返回网桥设置窗口。

      图 6.1. 将以太网设备作为端口添加到网桥

      nmtui 网桥添加端口
    6. 重复这些步骤,来向网桥添加更多的端口。
  9. 根据您的环境,相应地在 IPv4 configurationIPv6 configuration 区中配置 IP 地址。为此,请按这些区域旁边的按钮,并选择:

    • Disabled,如果网桥不需要 IP 地址。
    • Automatic,如果 DHCP 服务器或无状态地址自动配置(SLAAC)动态将 IP 地址分配给网桥。
    • Manual,如果网络需要静态 IP 地址设置。在这种情况下,您必须填写更多字段:

      1. 在您要配置的协议旁边按 Show 以显示其他字段。
      2. Addresses 旁边的 Add,并以无类别域间路由(CIDR)格式输入 IP 地址和子网掩码。

        如果没有指定子网掩码,NetworkManager 会为 IPv4 地址设置 /32 子网掩码,为 IPv6 地址设置 /64 子网掩码。

      3. 输入默认网关的地址。
      4. DNS 服务器 旁边的 Add,并输入 DNS 服务器地址。
      5. 搜索域 旁边的 Add,并输入 DNS 搜索域。

    图 6.2. 没有 IP 地址设置的网桥连接的示例

    nmtui 网桥没有 IP
  10. OK 创建并自动激活新连接。
  11. Back 返回到主菜单。
  12. 选择 Quit,然后按 Enter 来关闭 nmtui 应用程序。

验证

  1. 使用 ip 工具来显示作为特定网桥端口的以太网设备的链接状态:

    # ip link show master bridge0
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff
  2. 使用 bridge 工具来显示作为任意网桥设备端口的以太网设备状态:

    # bridge link show
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
    ...

    要显示特定以太网设备的状态,请使用 bridge link show dev < ethernet_device_name> 命令。

6.4. 使用 nm-connection-editor 配置网桥

如果您将 Red Hat Enterprise Linux 与图形界面搭配使用,您可以使用 nm-connection-editor 应用程序配置网桥。

请注意,nm-connection-editor 只能向网桥添加新端口。要使用现有连接配置文件作为端口,请使用 nmcli 工具创建网桥,如 使用 nmcli 配置网桥 中所述。

先决条件

  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。
  • 要将以太网设备用作网桥的端口,必须在服务器中安装物理或者虚拟以太网设备。
  • 要使用 team、bond 或 VLAN 设备作为网桥的端口,请确保这些设备还没有配置。

步骤

  1. 打开一个终端,输入 nm-connection-editor

    $ nm-connection-editor
  2. 点击 + 按钮来添加一个新的连接。
  3. 选择 Bridge 连接类型,然后单击 Create
  4. Bridge 选项卡中:

    1. 可选:在 Interface name 字段中设置网桥接口的名称。
    2. Add 按钮为网络接口创建新连接配置集,并将配置集作为端口添加到网桥。

      1. 选择接口的连接类型。例如,为有线连接选择 Ethernet
      2. 另外,还可为端口设备设置连接名称。
      3. 如果您为以太网设备创建连接配置文件,请打开 Ethernet 选项卡,然后在 Device 字段中选择您要作为端口添加到网桥的网络接口。如果您选择了不同的设备类型,请相应地进行配置。
      4. Save
    3. 对您要添加到桥接的每个接口重复前面的步骤。

      add nic to bridge in nm connection editor

  5. 可选:配置其他网桥设置,如生成树协议(STP)选项。
  6. IPv4 SettingsIPv6 Settings 标签页中配置 IP 地址设置:

    • 要将这个网桥设备用作其他设备的端口,请将 Method 字段设置为 Disabled
    • 要使用 DHCP,请将 Method 字段保留为默认值 Automatic (DHCP)
    • 要使用静态 IP 设置,请将 Method 字段设置为 Manual,并相应地填写字段:

      bridge IP settings nm connection editor

  7. Save
  8. 关闭 nm-connection-editor

验证

  • 使用 ip 工具来显示作为特定网桥端口的以太网设备的链接状态。

    # ip link show master bridge0
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff
  • 使用 bridge 工具来显示作为任意网桥设备中端口的以太网设备状态:

    # bridge link show
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
    5: enp9s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state forwarding priority 32 cost 100
    6: enp11s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state blocking priority 32 cost 100
    ...

    要显示特定以太网设备的状态,请使用 bridge link show dev ethernet_device_name 命令。

6.5. 使用 nmstatectl配置网络桥接

使用 nmstatectl 工具通过 Nmstate API 配置网桥。Nmstate API 确保设置配置后结果与配置文件匹配。如果有任何失败,nmstatectl 会自动回滚更改以避免系统处于不正确的状态。

根据您的环境,相应地调整 YAML 文件。例如,要使用与网桥中以太网适配器不同的设备,请调整您在网桥中使用的端口的 base-iface 属性和 type 属性。

先决条件

  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。
  • 要将以太网设备用作网桥中的端口,必须在服务器中安装物理或者虚拟以太网设备。
  • 要使用团队、绑定或 VLAN 设备作为网桥中的端口,请在 port 列表中设置接口名称,并定义对应的接口。
  • nmstate 软件包已安装。

步骤

  1. 创建一个包含以下内容的 YAML 文件,如 ~/create-bridge.yml

    ---
    interfaces:
    - name: bridge0
      type: linux-bridge
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      bridge:
        options:
          stp:
            enabled: true
        port:
          - name: enp1s0
          - name: enp7s0
    - name: enp1s0
      type: ethernet
      state: up
    - name: enp7s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: bridge0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: bridge0
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb

    这些设置使用以下设置定义一个网桥:

    • 网桥中的网络接口:enp1s0enp7s0
    • Spanning Tree Protocol (STP): 启用
    • 静态 IPv4 地址:192.0.2.1,子网掩码为 /24
    • 静态 IPv6 地址:2001:db8:1::1 ,子网掩码为 /64
    • IPv4 默认网关:192.0.2.254
    • IPv6 默认网关:2001:db8:1::fffe
    • IPv4 DNS 服务器:192.0.2.200
    • IPv6 DNS 服务器:2001:db8:1::ffbb
    • DNS 搜索域:example.com
  2. 将设置应用到系统:

    # nmstatectl apply ~/create-bridge.yml

验证

  1. 显示设备和连接的状态:

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    bridge0     bridge    connected  bridge0
  2. 显示连接配置集的所有设置:

    # nmcli connection show bridge0
    connection.id:              bridge0_
    connection.uuid:            e2cc9206-75a2-4622-89cf-1252926060a9
    connection.stable-id:       --
    connection.type:            bridge
    connection.interface-name:  bridge0
    ...
  3. 以 YAML 格式显示连接设置:

    # nmstatectl show bridge0

其他资源

6.6. 使用 network RHEL 系统角色配置网桥

您可以使用 network RHEL 系统角色远程配置网桥。

先决条件

  • 您已准备好控制节点和受管节点
  • 以可在受管主机上运行 playbook 的用户登录到控制节点。
  • 用于连接到受管节点的帐户对其具有 sudo 权限。
  • 在服务器中安装两个或者两个以上物理或者虚拟网络设备。

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure a network bridge that uses two Ethernet ports
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              # Define the bridge profile
              - name: bridge0
                type: bridge
                interface_name: bridge0
                ip:
                  address:
                    - "192.0.2.1/24"
                    - "2001:db8:1::1/64"
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                state: up
    
              # Add an Ethernet profile to the bridge
              - name: bridge0-port1
                interface_name: enp7s0
                type: ethernet
                controller: bridge0
                port_type: bridge
                state: up
    
              # Add a second Ethernet profile to the bridge
              - name: bridge0-port2
                interface_name: enp8s0
                type: ethernet
                controller: bridge0
                port_type: bridge
                state: up

    这些设置使用以下设置定义一个网桥:

    • 静态 IPv4 地址 - 192.0.2.1/24 子网掩码
    • 静态 IPv6 地址 - 2001:db8:1::1/64 子网掩码
    • IPv4 默认网关 - 192.0.2.254
    • IPv6 默认网关 - 2001:db8:1::fffe
    • IPv4 DNS 服务器 - 192.0.2.200
    • IPv6 DNS 服务器 - 2001:db8:1::ffbb
    • DNS 搜索域 - example.com
    • 网桥的端口 - enp7s0enp8s0

      注意

      在网桥上设置 IP 配置,而不是在 Linux 网桥的端口上设置。

  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其它资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

第 7 章 设置 IPsec VPN

虚拟专用网络(VPN)是一种通过互联网连接到本地网络的方法。Libreswan 提供的 IPsec 是创建 VPN 的首选方法。libreswan 是 VPN 的用户空间 IPsec 实现。VPN 通过在中间网络(如互联网)设置隧道来启用 LAN 和另一个远程 LAN 之间的通信。为了安全起见,VPN 隧道总是使用认证和加密。对于加密操作,Libreswan 使用 NSS 库。

7.1. 使用 control-center 配置 VPN 连接

如果您将 Red Hat Enterprise Linux 与图形界面搭配使用,您可以在 GNOME control-center 中配置 VPN 连接。

先决条件

  • 已安装 NetworkManager-libreswan-gnome 软件包。

步骤

  1. Super 键,输入 Settings,然后按 Enter 键打开 control-center 应用程序。
  2. 选择左侧的 Network 条目。
  3. + 图标。
  4. 选择 VPN
  5. 选择 Identity 菜单项来查看基本配置选项:

    General

    Gateway - 远程 VPN 网关的名称或 IP 地址。

    认证

    类型

    • IKEv2(Certificate)- 客户端通过证书进行身份验证。它更安全(默认)。
    • IKEv1(XAUTH) - 客户端通过用户名和密码或预共享密钥(PSK)进行身份验证。

      以下配置设置在 高级 部分中提供:

      图 7.1. VPN 连接的高级选项

      网络 vpn 高级选项
      警告

      当使用 gnome-control-center 应用程序配置基于 IPsec 的 VPN 连接时,高级 对话框会显示配置,但它不允许任何更改。因此,用户无法更改任何高级 IPsec 选项。使用 nm-connection-editornmcli 工具来配置高级属性。

      身份识别

    • - 如果需要,输入域名。

      安全性

    • Phase1 Algorithms - 对应于 ike Libreswan 参数 - 输入用来验证和设置加密频道的算法。
    • Phase2 Algorithms - 对应于 esp Libreswan 参数 - 输入用于 IPsec 协商的算法。

      选择 Disable PFS 字段来关闭 Perfect Forward Secrecy(PFS),以确保与不支持 PFS 的旧服务器兼容。

    • Phase1 Lifetime - 对应于 ikelifetime Libreswan 参数 - 用于加密流量的密钥的有效期。
    • Phase2 Lifetime - 对应于 salifetime Libreswan 参数 - 在过期前连接的特定实例应多久。

      注意:为了安全起见,加密密钥应该不时地更改。

    • Remote network - 对应于 rightsubnet Libreswan 参数 - 应该通过 VPN 访问的目标专用远程网络。

      检查 缩减 字段以启用缩小字段。请注意,它只在 IKEv2 协商中有效。

    • Enable fragmentation - 对应于 fragmentation Libreswan 参数 - 是否允许 IKE 分段。有效值为 yes (默认)或 no
    • Enable Mobike - 对应于 mobike Libreswan 参数 - 是否允许 Mobility and Multihoming Protocol(MOBIKE、RFC 4555)启用连接来迁移其端点,而无需从头开始重启连接。这可用于在有线、无线或者移动数据连接之间进行切换的移动设备。值为 no (默认)或 yes
  6. 选择 IPv4 菜单条目:

    IPv4 方法

    • Automatic (DHCP) - 如果您要连接的网络使用 DHCP 服务器来分配动态 IP 地址,请选择此选项。
    • Link-Local Only - 如果您要连接的网络没有 DHCP 服务器且您不想手动分配 IP 地址,请选择这个选项。随机地址将根据 RFC 3927 分配,带有前缀 169.254/16
    • 手动 - 如果您要手动分配 IP 地址,请选择这个选项。
    • Disable - 在这个连接中禁用 IPv4

      DNS

      DNS 部分,当 AutomaticON 时,将其切换到 OFF 以进入您要用逗号分开的 DNS 服务器的 IP 地址。

      Routes

      请注意,在 Routes 部分,当 AutomaticON 时,会使用 DHCP 的路由,但您也可以添加额外的静态路由。当 OFF 时,只使用静态路由。

    • Address - 输入远程网络或主机的 IP 地址。
    • Netmask - 以上输入的 IP 地址的子网掩码或前缀长度。
    • Gateway - 上面输入的远程网络或主机的网关的 IP 地址。
    • Metric - 网络成本,赋予此路由的首选值。数值越低,优先级越高。

      仅将此连接用于其网络上的资源

      选择这个复选框以防止连接成为默认路由。选择这个选项意味着只有特别用于路由的流量才会通过连接自动获得,或者手动输入到连接上。

  7. 要在 VPN 连接中配置 IPv6 设置,请选择 IPv6 菜单条目:

    IPv6 Method

    • Automatic - 选择这个选项使用 IPv6 Stateless Address AutoConfiguration(SLAAC)根据硬件地址和路由器公告(RA)创建自动的、无状态的配置。
    • Automatic, DHCP only - 选择这个选项以不使用 RA,但从 DHCPv6 请求信息以创建有状态的配置。
    • Link-Local Only - 如果您要连接的网络没有 DHCP 服务器且您不想手动分配 IP 地址,请选择这个选项。随机地址将根据 RFC 4862 分配,前缀为 FE80::0
    • 手动 - 如果您要手动分配 IP 地址,请选择这个选项。
    • Disable - 在这个连接中禁用 IPv6

      请注意,DNS, Routes, Use this connection only for resources on its network 项是 IPv4 的常规设置。

  8. 编辑完 VPN 连接后,点添加按钮自定义配置或应用按钮为现有配置保存它。
  9. 将配置集切换为 ON 以激活 VPN 连接。

其他资源

  • nm-settings-libreswan(5)

7.2. 使用 nm-connection-editor 配置 VPN 连接

如果您将 Red Hat Enterprise Linux 与图形界面搭配使用,您可以在 nm-connection-editor 应用程序中配置 VPN 连接。

先决条件

  • 已安装 NetworkManager-libreswan-gnome 软件包。
  • 如果您配置了互联网密钥交换版本 2(IKEv2)连接:

    • 证书导入到 IPsec 网络安全服务(NSS)数据库中。
    • NSS 数据库中的证书 nickname 是已知的。

流程

  1. 打开终端窗口,输入:

    $ nm-connection-editor
  2. 点击 + 按钮来添加一个新的连接。
  3. 选择 IPsec based VPN 连接类型,然后点击 Create
  4. VPN 选项卡中:

    1. Gateway 字段中输入 VPN 网关的主机名或 IP 地址,然后选择验证类型。根据验证类型,您必须输入不同的额外信息:

      • IKEv2(认证) 使用证书验证客户端,这会更安全。这个设置需要在 IPsec NSS 数据库中指定证书的 nickname
      • IKEv1(XAUTH) 使用用户名和密码(预共享密钥)验证用户身份。此设置要求您输入以下值:

        • 用户名
        • 密码
        • 组名称
        • Secret
    2. 如果远程服务器为 IKE 交换指定了本地标识符,在 Remote ID 字段中输入准确的字符串。在运行 Libreswan 的远程服务器中,这个值是在服务器的 leftid 参数中设置的。

      nm connection editor vpn tab

    3. (可选)点击高级按钮配置附加设置。您可以配置以下设置:

      • 身份识别

        • - 如果需要,请输入域名。
      • 安全性

        • Phase1 Algorithms 对应于 ike Libreswan 参数。输入用来验证和设置加密频道的算法。
        • Phase2 Algorithms 对应于 esp Libreswan 参数。输入用于 IPsec 协商的算法。

          选择 Disable PFS 字段来关闭 Perfect Forward Secrecy(PFS),以确保与不支持 PFS 的旧服务器兼容。

        • Phase1 Lifetimeikelifetime Libreswan 参数对应。此参数定义用于加密流量的密钥的有效期。
        • Phase2 Lifetimesalifetime Libreswan 参数对应。这个参数定义安全关联有效期。
      • 连接性

        • 远程网络rightsubnet Libreswan 参数对应,并定义应通过 VPN 访问的目标专用远程网络。

          检查 缩减 字段以启用缩小字段。请注意,它只在 IKEv2 协商中有效。

        • Enable fragmentationsegmentation Libreswan 参数对应,并定义是否允许 IKE 分段。有效值为 yes (默认)或 no
        • Enable Mobikemobike 参数对应。参数定义是否允许移动和多功能协议(MOBIKE)(RFC 4555)启用连接来迁移其端点而无需从头开始重启连接。这可用于在有线、无线或者移动数据连接之间进行切换的移动设备。值为 no (默认)或 yes
  5. IPv4 Settings 选项卡中,选择 IP 分配方法,并可选择设置额外的静态地址、DNS 服务器、搜索域和路由。

    IPsec IPv4 tab

  6. 保存连接。
  7. 关闭 nm-connection-editor
注意

当您点 + 按钮添加新连接时, NetworkManager 会为那个连接创建新配置文件,然后打开同一个对话框来编辑现有连接。这两个对话框之间的区别在于现有连接配置集有详情菜单条目。

其他资源

  • nm-settings-libreswan(5) 手册页

7.3. 配置自动检测和使用 ESP 硬件卸载来加速 IPsec 连接

卸载硬件的封装安全负载(ESP)来加速以太网上的 IPsec 连接。默认情况下,Libreswan 会检测硬件是否支持这个功能,并因此启用 ESP 硬件卸载。如果这个功能被禁用或明确启用,您可以切回到自动检测。

先决条件

  • 网卡支持 ESP 硬件卸载。
  • 网络驱动程序支持 ESP 硬件卸载。
  • IPsec 连接已配置且可以正常工作。

步骤

  1. 编辑连接的 /etc/ipsec.d/ 目录中的 Libreswan 配置文件,该文件应使用 ESP 硬件卸载支持的自动检测。
  2. 确保连接的设置中没有设置 nic-offload 参数。
  3. 如果您删除了 nic-offload,请重启 ipsec 服务:

    # systemctl restart ipsec

验证

如果网卡支持 ESP 硬件卸载支持,请按照以下步骤验证结果:

  1. 显示 IPsec 连接使用的以太网设备的 tx_ipsecrx_ipsec 计数器:

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 10
         rx_ipsec: 10
  2. 通过 IPsec 隧道发送流量。例如,ping 远程 IP 地址:

    # ping -c 5 remote_ip_address
  3. 再次显示以太网设备的 tx_ipsecrx_ipsec 计数器:

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 15
         rx_ipsec: 15

    如果计数器值增加了,ESP 硬件卸载正常工作。

7.4. 在绑定中配置 ESP 硬件卸载以加快 IPsec 连接

将封装安全负载(ESP)卸载到硬件可加速 IPsec 连接。如果出于故障转移原因而使用网络绑定,配置 ESP 硬件卸载的要求和流程与使用常规以太网设备的要求和流程不同。例如,在这种情况下,您可以对绑定启用卸载支持,内核会将设置应用到绑定的端口。

先决条件

  • 绑定中的所有网卡都支持 ESP 硬件卸载。
  • 网络驱动程序支持对绑定设备的 ESP 硬件卸载。在 RHEL 中,只有 ixgbe 驱动程序支持此功能。
  • 绑定已配置且可以正常工作。
  • 该绑定使用 active-backup 模式。绑定驱动程序不支持此功能的任何其他模式。
  • IPsec 连接已配置且可以正常工作。

步骤

  1. 对网络绑定启用 ESP 硬件卸载支持:

    # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

    这个命令在对 bond0 连接启用 ESP 硬件卸载支持。

  2. 重新激活 bond0 连接:

    # nmcli connection up bond0
  3. 编辑应使用 ESP 硬件卸载的连接的 /etc/ipsec.d/ 目录中的 Libreswan 配置文件,并将 nic-offload=yes 语句附加到连接条目:

    conn example
        ...
        nic-offload=yes
  4. 重启 ipsec 服务:

    # systemctl restart ipsec

验证

  1. 显示绑定的活动端口:

    # grep "Currently Active Slave" /proc/net/bonding/bond0
    Currently Active Slave: enp1s0
  2. 显示活动端口的 tx_ipsecrx_ipsec 计数器:

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 10
         rx_ipsec: 10
  3. 通过 IPsec 隧道发送流量。例如,ping 远程 IP 地址:

    # ping -c 5 remote_ip_address
  4. 再次显示活动端口的 tx_ipsecrx_ipsec 计数器:

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 15
         rx_ipsec: 15

    如果计数器值增加了,ESP 硬件卸载正常工作。

其他资源

第 8 章 配置 IP 隧道

与 VPN 类似,IP 隧道通过第三方网络(如互联网)直接连接两个网络。然而,不是所有的隧道协议都支持加密。

两个建立隧道网络的路由器至少需要两个接口:

  • 一个连接到本地网络的接口
  • 一个连接到建立隧道的网络的接口。

要建立隧道,您可以在两个路由器中使用来自远程子网的 IP 地址创建一个虚拟接口。

NetworkManager 支持以下 IP 隧道:

  • 通用路由封装(GRE)
  • IPv6 上的通用路由封装(IP6GRE)
  • 通用路由封装终端接入点(GRETAP)
  • 通用路由登录在 IPv6(IP6GRETAP)上
  • IPv4 over IPv4(IPIP)
  • IPv4 over IPv6(IPIP6)
  • IPv6 over IPv6(IP6IP6)
  • 简单的互联网转换(SIT)

根据类型,这些通道在 Open Systems Interconnection(OSI)的第 2 层或 3 层动作。

8.1. 使用 nmcli 配置 IPIP 隧道来封装 IPv4 数据包中的 IPv4 流量

IP over IP(IPIP)隧道在 OSI 层 3 上运行,并封装 IPv4 数据包中的 IPv4 流量,如 RFC 2003 所述

重要

通过 IPIP 隧道发送的数据没有加密。出于安全考虑,只在已经加密的数据中使用隧道,比如 HTTPS。

请注意,IPIP 隧道只支持单播数据包。如果您需要支持多播的 IPv4 隧道,请参阅 使用 nmcli 配置 GRE 隧道来封装 IPv4 数据包中的第 3 层流量

例如,您可以在两个 RHEL 路由器之间创建一个 IPIP 隧道来通过互联网连接两个内部子网,如下图所示:

IPIP 隧道

先决条件

  • 每个 RHEL 路由器都有一个网络接口,它连接到其本地子网。
  • 每个 RHEL 路由器都有一个网络接口,它连接到互联网。
  • 您需要通过隧道发送的流量是 IPv4 单播。

流程

  1. 在网络 A 的 RHEL 路由器上:

    1. 创建名为 tun0 的 IPIP 隧道接口:

      # nmcli connection add type ip-tunnel ip-tunnel.mode ipip con-name tun0 ifname tun0 remote 198.51.100.5 local 203.0.113.10

      remotelocal 参数设置远程和本地路由器的公共 IP 地址。

    2. 将 IPv4 地址设为 tun0 设备:

      # nmcli connection modify tun0 ipv4.addresses '10.0.1.1/30'

      请注意,具有两个可用 IP 地址的 /30 子网足以满足隧道的需要。

    3. tun0 连接配置为使用手动 IPv4 配置:

      # nmcli connection modify tun0 ipv4.method manual
    4. 添加一个静态路由,其将到 172.16.0.0/24 网络的流量路由到路由器 B 上的隧道 IP:

      # nmcli connection modify tun0 +ipv4.routes "172.16.0.0/24 10.0.1.2"
    5. 启用 tun0 连接。

      # nmcli connection up tun0
    6. 启用数据包转发:

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf
  2. 在网络 B 中的 RHEL 路由器中:

    1. 创建名为 tun0 的 IPIP 隧道接口:

      # nmcli connection add type ip-tunnel ip-tunnel.mode ipip con-name tun0 ifname tun0 remote 203.0.113.10 local 198.51.100.5

      remotelocal 参数设置远程和本地路由器的公共 IP 地址。

    2. 将 IPv4 地址设为 tun0 设备:

      # nmcli connection modify tun0 ipv4.addresses '10.0.1.2/30'
    3. tun0 连接配置为使用手动 IPv4 配置:

      # nmcli connection modify tun0 ipv4.method manual
    4. 添加一个静态路由,其将路由到 192.0.2.0/24 网络的流量路由到路由器 A 上的隧道 IP:

      # nmcli connection modify tun0 +ipv4.routes "192.0.2.0/24 10.0.1.1"
    5. 启用 tun0 连接。

      # nmcli connection up tun0
    6. 启用数据包转发:

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

验证

  • 从每个 RHEL 路由器中,ping 路由器的内部接口的 IP 地址:

    1. 在路由器 A 上,ping 172.16.0.1

      # ping 172.16.0.1
    2. 在路由器 B 上,ping 192.0.2.1

      # ping 192.0.2.1

其他资源

  • nmcli(1) 手册页
  • nm-settings(5) 手册页

8.2. 使用 nmcli 配置 GRE 隧道来封装 IPv4 数据包中的第 3 层流量

Generic Routing Encapsulation(GRE)隧道封装 IPv4 数据包中的第 3 层流量,如 RFC 2784 所述。GRE 隧道可以使用有效的以太网类型封装任何第 3 层协议。

重要

通过 GRE 隧道发送的数据没有加密。出于安全考虑,只在已经加密的数据中使用隧道,比如 HTTPS。

例如,您可以在两个 RHEL 路由器之间创建一个 GRE 隧道来通过互联网连接两个内部子网,如下图所示:

GRE 隧道
注意

保留 gre0 设备名称。对该设备使用 gre1 或者不同的名称。

先决条件

  • 每个 RHEL 路由器都有一个网络接口,它连接到其本地子网。
  • 每个 RHEL 路由器都有一个网络接口,它连接到互联网。

流程

  1. 在网络 A 的 RHEL 路由器上:

    1. 创建名为 gre1 的 GRE 隧道接口:

      # nmcli connection add type ip-tunnel ip-tunnel.mode gre con-name gre1 ifname gre1 remote 198.51.100.5 local 203.0.113.10

      remotelocal 参数设置远程和本地路由器的公共 IP 地址。

    2. 将 IPv4 地址设为 gre1 设备:

      # nmcli connection modify gre1 ipv4.addresses '10.0.1.1/30'

      请注意,具有两个可用 IP 地址的 /30 子网足以满足隧道的需要。

    3. gre1 连接配置为使用手动 IPv4 配置:

      # nmcli connection modify gre1 ipv4.method manual
    4. 添加一个静态路由,其将到 172.16.0.0/24 网络的流量路由到路由器 B 上的隧道 IP:

      # nmcli connection modify gre1 +ipv4.routes "172.16.0.0/24 10.0.1.2"
    5. 启用 gre1 连接。

      # nmcli connection up gre1
    6. 启用数据包转发:

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf
  2. 在网络 B 中的 RHEL 路由器中:

    1. 创建名为 gre1 的 GRE 隧道接口:

      # nmcli connection add type ip-tunnel ip-tunnel.mode gre con-name gre1 ifname gre1 remote 203.0.113.10 local 198.51.100.5

      remotelocal 参数设置远程和本地路由器的公共 IP 地址。

    2. 将 IPv4 地址设为 gre1 设备:

      # nmcli connection modify gre1 ipv4.addresses '10.0.1.2/30'
    3. gre1 连接配置为使用手动 IPv4 配置:

      # nmcli connection modify gre1 ipv4.method manual
    4. 添加一个静态路由,其将路由到 192.0.2.0/24 网络的流量路由到路由器 A 上的隧道 IP:

      # nmcli connection modify gre1 +ipv4.routes "192.0.2.0/24 10.0.1.1"
    5. 启用 gre1 连接。

      # nmcli connection up gre1
    6. 启用数据包转发:

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

验证

  1. 从每个 RHEL 路由器中,ping 路由器的内部接口的 IP 地址:

    1. 在路由器 A 上,ping 172.16.0.1

      # ping 172.16.0.1
    2. 在路由器 B 上,ping 192.0.2.1

      # ping 192.0.2.1

其他资源

  • nmcli(1) 手册页
  • nm-settings(5) 手册页

8.3. 配置 GRETAP 隧道来通过 IPv4 传输以太网帧

通用路由封装终端接入点(GRETAP)隧道在 OSI 级别 2 上运行,并封装 IPv4 数据包中的以太网流量,如 RFC 2784 所述。

重要

通过 GRETAP 隧道发送的数据没有加密。出于安全考虑,通过 VPN 或不同的加密连接建立隧道。

例如,您可以在两个 RHEL 路由器之间创建一个 GRETAP 隧道,以使用网桥连接两个网络,如下图所示:

GRETAP 隧道
注意

保留 gretap0 设备名称。对该设备使用 gretap1 或者不同的名称。

先决条件

  • 每个 RHEL 路由器都有一个网络接口,它连接到其本地网络,接口没有分配 IP 配置。
  • 每个 RHEL 路由器都有一个网络接口,它连接到互联网。

流程

  1. 在网络 A 的 RHEL 路由器上:

    1. 创建名为 bridge0 的网桥接口:

      # nmcli connection add type bridge con-name bridge0 ifname bridge0
    2. 配置网桥的 IP 设置:

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify bridge0 ipv4.method manual
    3. 为连接到本地网络的接口添加新连接配置集到网桥:

      # nmcli connection add type ethernet slave-type bridge con-name bridge0-port1 ifname enp1s0 master bridge0
    4. 为网桥添加 GRETAP 隧道接口的新连接配置集:

      # nmcli connection add type ip-tunnel ip-tunnel.mode gretap slave-type bridge con-name bridge0-port2 ifname gretap1 remote 198.51.100.5 local 203.0.113.10 master bridge0

      remotelocal 参数设置远程和本地路由器的公共 IP 地址。

    5. 可选:如果您不需要,STP(Spanning Tree Protocol):

      # nmcli connection modify bridge0 bridge.stp no

      默认情况下,STP 被启用并导致在使用连接前出现延迟。

    6. 配置激活 bridge0 连接会自动激活网桥端口:

      # nmcli connection modify bridge0 connection.autoconnect-slaves 1
    7. 激活 bridge0 连接:

      # nmcli connection up bridge0
  2. 在网络 B 中的 RHEL 路由器中:

    1. 创建名为 bridge0 的网桥接口:

      # nmcli connection add type bridge con-name bridge0 ifname bridge0
    2. 配置网桥的 IP 设置:

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.2/24'
      # nmcli connection modify bridge0 ipv4.method manual
    3. 为连接到本地网络的接口添加新连接配置集到网桥:

      # nmcli connection add type ethernet slave-type bridge con-name bridge0-port1 ifname enp1s0 master bridge0
    4. 为网桥添加 GRETAP 隧道接口的新连接配置集:

      # nmcli connection add type ip-tunnel ip-tunnel.mode gretap slave-type bridge con-name bridge0-port2 ifname gretap1 remote 203.0.113.10 local 198.51.100.5 master bridge0

      remotelocal 参数设置远程和本地路由器的公共 IP 地址。

    5. 可选:如果您不需要,STP(Spanning Tree Protocol):

      # nmcli connection modify bridge0 bridge.stp no
    6. 配置激活 bridge0 连接会自动激活网桥端口:

      # nmcli connection modify bridge0 connection.autoconnect-slaves 1
    7. 激活 bridge0 连接:

      # nmcli connection up bridge0

验证

  1. 在两个路由器上,验证 enp1s0gretap1 连接是否已连接,并且 CONNECTION 列是否显示端口的连接名称:

    # nmcli device
    nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    bridge0  bridge    connected  bridge0
    enp1s0   ethernet  connected  bridge0-port1
    gretap1  iptunnel  connected  bridge0-port2
  2. 从每个 RHEL 路由器中,ping 路由器的内部接口的 IP 地址:

    1. 在路由器 A 上,ping 192.0.2.2

      # ping 192.0.2.2
    2. 在路由器 B 上,ping 192.0.2.1

      # ping 192.0.2.1

其他资源

  • nmcli(1) 手册页
  • nm-settings(5) 手册页

8.4. 其他资源

  • ip-link(8) 手册页

第 9 章 使用 VXLAN 为虚拟机创建虚拟第 2 层域

虚拟可扩展局域网(VXLAN)是一种网络协议,它使用 UDP 协议在 IP 网络上对第 2 层流量进行隧道化。例如,在不同主机上运行的某些虚拟机(VM)可以通过 VXLAN 隧道进行通信。主机可以位于不同的子网中,甚至位于世界各地的不同数据中心。从虚拟机的角度来看,同一 VXLAN 中的其他虚拟机都在同一个第 2 层域中:

vxlan 隧道

在本例中,RHEL-host-A 和 RHEL-host-B 使用网桥 br0 来在每台具有 VXLAN 为 vxlan10 的主机上连接虚拟机的虚拟网络。由于此配置,VXLAN 对虚拟机不可见,虚拟机不需要任何特殊的配置。如果您稍后将更多的虚拟机连接到同一虚拟网络,则虚拟机将自动成为同一虚拟第 2 层域的成员。

重要

就像正常的第 2 层流量一样,VXLAN 中的数据是不加密的。出于安全考虑,在 VPN 或其他类型的加密连接上使用 VXLAN 。

9.1. VXLAN 的优点

虚拟可扩展局域网(VXLAN)提供了以下主要优点:

  • VXLAN 使用 24 位 ID。因此,您可以创建高达 16,777,216 个隔离网络。例如,虚拟 LAN(VLAN)只支持 4,096 个隔离网络。
  • VXLAN 使用 IP 协议。这可让您路由流量,并在同一第 2 层域中的不同网络和位置虚拟运行系统。
  • 与大多数隧道协议不同,VXLAN 不仅仅是一个点对点的网络。VXLAN 可以动态了解其他端点的 IP 地址,也可以使用静态配置的转发条目。
  • 某些网卡支持 UDP 隧道相关的卸载功能。

其他资源

  • /usr/share/doc/kernel-doc-<kernel_version>> /Documentation/networking/vxlan.rstkernel-doc 软件包提供

9.2. 在主机上配置以太网接口

要将 RHEL 虚拟机主机连接到以太网,请创建一个网络连接配置文件,配置 IP 设置,并激活配置文件。

在 RHEL 主机上运行此过程,并相应地调整 IP 地址配置。

先决条件

  • 主机连接到以太网。

步骤

  1. 在 NetworkManager 中添加新的以太网连接配置文件:

    # nmcli connection add con-name Example ifname enp1s0 type ethernet
  2. 配置 IPv4 设置:

    # nmcli connection modify Example ipv4.addresses 198.51.100.2/24 ipv4.method manual ipv4.gateway 198.51.100.254 ipv4.dns 198.51.100.200 ipv4.dns-search example.com

    如果网络使用 DHCP,请跳过这一步。

  3. 激活 Example 连接:

    # nmcli connection up Example

验证

  1. 显示设备和连接的状态:

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp1s0      ethernet  connected  Example
  2. 在远程网络中 ping 主机以验证 IP 设置:

    # ping RHEL-host-B.example.com

    请注意,在该主机上配置网络前,您无法 ping 其他虚拟机主机。

其他资源

  • nm-settings(5) 手册页

9.3. 创建附加了 VXLAN 的网桥

要使虚拟可扩展局域网(VXLAN)对虚拟机(VM)不可见,请在主机上创建一个网桥,并将 VXLAN 附加给网桥。使用 NetworkManager 创建网桥和 VXLAN。您不能将虚拟机的任何流量访问点(TAP)设备(通常在主机上称为 vnet *)添加到网桥。在虚拟机启动时,libvirtd 服务会动态添加它们。

在 RHEL 主机上运行此过程,并相应地调整 IP 地址。

步骤

  1. 创建网桥 br0

    # nmcli connection add type bridge con-name br0 ifname br0 ipv4.method disabled ipv6.method disabled

    此命令在网桥设备上设置没有 IPv4 和 IPv6 地址,因为此网桥在第 2 层工作。

  2. 创建 VXLAN 接口,并将其附加到 br0

    # nmcli connection add type vxlan slave-type bridge con-name br0-vxlan10 ifname vxlan10 id 10 local 198.51.100.2 remote 203.0.113.1 master br0

    这个命令使用以下设置:

    • ID 10 :设置 VXLAN 标识符。
    • local 198.51.100.2 :设置传出数据包的源 IP 地址。
    • remote 203.0.113.1 :当目的地链路层地址在 VXLAN 设备转发数据库中未知时,设置要在传出数据包中使用的单播或多播IP地址。
    • Master br0 :将要创建的此 VXLAN 连接设为 br0 连接中的一个端口。
    • ipv4.method disabledipv6.method disabled: 在网桥上禁用 IPv4 和 IPv6。

    默认情况下,NetworkManager 使用 8472 作为目的地端口。如果目的地端口不同,还要将 destination-port <port_number> 选项传给命令。

  3. 激活 br0 连接配置文件:

    # nmcli connection up br0
  4. 在本地防火墙中为进入 UDP 连接打开端口 8472

    # firewall-cmd --permanent --add-port=8472/udp
    # firewall-cmd --reload

验证

  • 显示转发表:

    # bridge fdb show dev vxlan10
    2a:53:bd:d5:b3:0a master br0 permanent
    00:00:00:00:00:00 dst 203.0.113.1 self permanent
    ...

其他资源

  • nm-settings(5) 手册页

9.4. 在带有现有网桥的 libvirt 中创建一个虚拟网络

要使虚拟机(VM)使用带有附加虚拟可扩展局域网(VXLAN) 的 br0 网桥,首先将虚拟网络添加到使用此网桥的 libvirtd 服务中。

先决条件

  • 您已安装了 libvirt 软件包。
  • 您已启动并启用了 libvirtd 服务。
  • 您已在 RHEL 上配置了带有 VXLAN 的 br0 设备。

步骤

  1. 使用以下内容创建 ~/vxlan10-bridge.xml 文件:

    <network>
     <name>vxlan10-bridge</name>
     <forward mode="bridge" />
     <bridge name="br0" />
    </network>
  2. 使用 ~/vxlan10-bridge.xml 文件来在 libvirt 中创建一个新的虚拟网络:

    # virsh net-define ~/vxlan10-bridge.xml
  3. 删除 ~/vxlan10-bridge.xml 文件:

    # rm ~/vxlan10-bridge.xml
  4. 启动 vxlan10-bridge 虚拟网络:

    # virsh net-start vxlan10-bridge
  5. vxlan10-bridge 虚拟网络配置为在 libvirtd 服务启动时自动启动:

    # virsh net-autostart vxlan10-bridge

验证

  • 显示虚拟网络列表:

    # virsh net-list
     Name              State    Autostart   Persistent
    ----------------------------------------------------
     vxlan10-bridge    active   yes         yes
     ...

其他资源

  • virsh(1) 手册页

9.5. 配置虚拟机以使用 VXLAN

要在主机上将虚拟机配置为使用带有附加虚拟可扩展 LAN(VXLAN)的网桥设备,请创建一个使用 vxlan10-bridge 虚拟网络的新虚拟机或更新现有虚拟机的设置以使用这个网络。

在 RHEL 主机上执行此流程。

先决条件

  • 您在 libvirtd 中配置了 vxlan10-bridge 虚拟网络。

步骤

  • 要创建新的虚拟机,并将其配置为使用 vxlan10-bridge 网络,请在创建虚拟机时将 --network network:vxlan10-bridge 选项传给 virt-install 命令:

    # virt-install ... --network network:vxlan10-bridge
  • 要更改现有虚拟机的网络设置:

    1. 将虚拟机的网络接口连接到 vxlan10-bridge 虚拟网络:

      # virt-xml VM_name --edit --network network=vxlan10-bridge
    2. 关闭虚拟机,并重新启动它:

      # virsh shutdown VM_name
      # virsh start VM_name

验证

  1. 显示主机上虚拟机的虚拟网络接口:

    # virsh domiflist VM_name
     Interface   Type     Source           Model    MAC
    -------------------------------------------------------------------
     vnet1       bridge   vxlan10-bridge   virtio   52:54:00:c5:98:1c
  2. 显示连接到 vxlan10-bridge 网桥的接口:

    # ip link show master vxlan10-bridge
    18: vxlan10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UNKNOWN mode DEFAULT group default qlen 1000
        link/ether 2a:53:bd:d5:b3:0a brd ff:ff:ff:ff:ff:ff
    19: vnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UNKNOWN mode DEFAULT group default qlen 1000
        link/ether 52:54:00:c5:98:1c brd ff:ff:ff:ff:ff:ff

    请注意,libvirtd 服务会动态更新网桥的配置。当您启动使用了 vxlan10-bridge 网络的虚拟机时,主机上对应的 vnet* 设备会显示为网桥的端口。

  3. 使用地址解析协议(ARP)请求来验证虚拟机是否在同一 VXLAN 中:

    1. 启动同一 VXLAN 中的两个或多个虚拟机。
    2. 将 ARP 请求从一个虚拟机发送到另一个虚拟机:

      # arping -c 1 192.0.2.2
      ARPING 192.0.2.2 from 192.0.2.1 enp1s0
      Unicast reply from 192.0.2.2 [52:54:00:c5:98:1c] 1.450ms
      Sent 1 probe(s) (0 broadcast(s))
      Received 1 response(s) (0 request(s), 0 broadcast(s))

      如果命令显示回复,则虚拟机位于同一第 2 层域中,在这种情况下,是在同一 VXLAN 中。

      安装 iputils 软件包以使用 arping 工具。

其他资源

  • virt-install(1) 手册页
  • virt-xml(1) 手册页
  • virsh(1) 手册页
  • arping(8) 手册页

第 10 章 管理 wifi 连接

RHEL 提供多个实用程序和应用程序来配置和连接到 wifi 网络,例如:

  • 使用 nmcli 工具,使用命令行配置连接。
  • 使用 nmtui 应用程序在基于文本的用户界面中配置连接。
  • 使用 GNOME 系统菜单快速连接到不需要任何配置的 wifi 网络。
  • 使用 GNOME Settings 应用程序,使用 GNOME 应用程序配置连接。
  • 使用 nm-connection-editor 应用程序在图形用户界面中配置连接。
  • 使用 network RHEL 系统角色在一个或多个主机上自动化连接的配置。

10.1. 支持的 wifi 安全类型

根据安全类型网络支持,您可以更安全地传输数据。

警告

不要连接到不使用加密的网络,或者只支持不安全的 WEP 或 WPA 标准。

RHEL 8 支持以下 wifi 安全类型:

  • None:加密被禁用,数据在网络中以纯文本形式传输。
  • Enhanced Open :使用投机无线加密(OWE),设备会协商唯一对主密钥 (PMK) 以在无线网络中加密连接,而无需身份验证。
  • WEP 40/128-bit Key (Hex or ASCII): 这个模式的 Wired Equivalent Privacy (WEP) 协议仅以十六进制或 ASCII 格式使用预共享密钥。WEP 已被弃用,并将在 RHEL 9.1 中被删除。
  • WEP 128 位密码.这个模式的 WEP 协议使用密码短语的 MD5 哈希来生成 WEP 密钥。WEP 已被弃用,并将在 RHEL 9.1 中被删除。
  • 动态 WEP (802.1x) :使用带动态键的 802.1X 和 EAP 的组合。WEP 已被弃用,并将在 RHEL 9.1 中被删除。
  • LEAP :由 Cisco 开发的轻量级可扩展验证协议,是可扩展身份验证协议 (EAP) 的专有版本。
  • WPA & WPA2 Personal :在个人模式中,WPA)和 Wi-Fi Protected Access 2 (WPA2) 验证方法使用预共享密钥。
  • WPA & WPA2 Enterprise :在企业模式中,WPA 和 WPA2 使用 EAP 框架,并对用户进行身份验证以远程身份验证服务 (RADIUS) 服务器。
  • WPA3 Personal - Wi-Fi Protected Access 3(WPA3) Personal 使用 Simultaneous Authentication of Equals (SAE) 而不是预共享密钥 (PSK) 来防止字典攻击。WPA3 使用完美转发保密 (PFS)。

10.2. 使用 nmcli连接到 wifi 网络

您可以使用 nmcli 实用程序连接到 wifi 网络。当您第一次尝试连接到网络时,实用程序会自动为其创建一个 NetworkManager 连接配置集。如果网络需要额外的设置,如静态 IP 地址,您可以在它自动创建后修改配置集。

先决条件

  • 在主机上安装了 wifi 设备。
  • 如果存在硬件交换机,启用 wifi 设备。

流程

  1. 如果网络管理器 (NetworkManager) 中禁用了 wifi radio,请启用此功能:

    # nmcli radio wifi on
  2. 可选:显示可用的 wifi 网络:

    # nmcli device wifi list
    IN-USE  BSSID              SSID          MODE   CHAN  RATE        SIGNAL  BARS  SECURITY
            00:53:00:2F:3B:08  Office        Infra  44    270 Mbit/s  57      ▂▄▆_  WPA2 WPA3
            00:53:00:15:03:BF  --            Infra  1     130 Mbit/s  48      ▂▄__  WPA2 WPA3

    服务设置标识符 (SSID) 列包含网络的名称。如果列显示 --,则此网络的接入点不会广播 SSID。

  3. 连接到 wifi 网络:

    # nmcli device wifi connect Office --ask
    Password: wifi-password

    如果您要在命令中设置密码而不是以交互方式输入密码,请在命令中使用 password wifi-password选项而不是 --ask:

    # nmcli device wifi connect Office wifi-password

    请注意,如果网络需要静态 IP 地址,NetworkManager 无法在此时激活连接。您可以在后续步骤中配置 IP 地址。

  4. 如果网络需要静态 IP 地址:

    1. 配置 IPv4 地址设置,例如:

      # nmcli connection modify Office ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv4.gateway 192.0.2.254 ipv4.dns 192.0.2.200 ipv4.dns-search example.com
    2. 配置 IPv6 地址设置,例如:

      # nmcli connection modify Office ipv6.method manual ipv6.addresses 2001:db8:1::1/64 ipv6.gateway 2001:db8:1::fffe ipv6.dns 2001:db8:1::ffbb ipv6.dns-search example.com
  5. 重新激活连接:

    # nmcli connection up Office

验证

  1. 显示活跃连接:

    # nmcli connection show --active
    NAME    ID                                    TYPE  DEVICE
    Office  2501eb7e-7b16-4dc6-97ef-7cc460139a58  wifi  wlp0s20f3

    如果输出列出了您创建的 wifi 连接,则连接会活跃。

  2. Ping 主机名或 IP 地址:

    # ping -c 3 example.com

其他资源

  • nm-settings-nmcli(5) man page

10.3. 使用 GNOME 系统菜单连接到 wifi 网络

您可以使用 GNOME 系统菜单连接到 wifi 网络。当您第一次连接到网络时,GNOME 会为它创建一个 NetworkManager 连接配置集。如果您将连接配置集配置为不自动连接,也可以使用 GNOME 系统菜单使用现有 NetworkManager 连接配置集手动连接到 wifi 网络。

注意

第一次使用 GNOME 系统菜单建立与 wifi 网络的连接存在某种限制。例如,您无法配置 IP 地址设置。在这种情况下,首先配置连接:

先决条件

  • 在主机上安装了 wifi 设备。
  • 如果存在硬件交换机,启用 wifi 设备。

流程

  1. 打开顶栏右侧的系统菜单。
  2. 展开 Wi-Fi Not Connected 条目。
  3. Select Network:

    GNOME 选择 wifi
  4. 选择您要连接到的 wifi 网络。
  5. 连接
  6. 如果这是您第一次连接到这个网络,请输入网络的密码,然后点 Connect

验证

  1. 打开顶栏右侧的系统菜单,验证 wifi 网络是否已连接:

    GNOME wifi 连接

    如果网络出现在列表中,它已被连接。

  2. Ping 主机名或 IP 地址:

    # ping -c 3 example.com

10.4. 使用 GNOME 设置应用程序连接到 wifi 网络

您可以使用名为 gnome-control-centerGNOME 设置 应用程序连接到 wifi 网络并配置连接。当您第一次连接到网络时,GNOME 会为它创建一个 NetworkManager 连接配置集。

GNOME 设置中,您可以为 RHEL 支持的所有 wifi 网络安全类型配置 wifi 连接。

先决条件

  • 在主机上安装了 wifi 设备。
  • 如果存在硬件交换机,启用 wifi 设备。

步骤

  1. Super 键,键入 Wi-Fi,然后按 Enter 键。
  2. 点您要连接的 wifi 网络的名称。
  3. 输入网络的密码,点 Connect
  4. 如果网络需要额外的设置,如静态 IP 地址或 WPA2 个人以外的安全类型:

    1. 点网络名称旁边的齿轮图标。
    2. 可选:在 Details 标签页中配置网络配置集无法自动连接。

      如果停用这个功能,您必须总是手动连接到网络,例如使用 GNOME settings 或 GNOME 系统菜单。

    3. 在 IPv4 选项卡上配置 IPv4 设置,并在 IPv6 选项卡上配置 IPv6 设置。
    4. Security 选项卡中,选择网络验证,如 WPA3 Personal,然后输入密码。

      根据所选安全性,应用程序会显示其他字段。相应地填充它们。详情请参阅 wifi 网络管理员。

    5. 应用

验证

  1. 打开顶栏右侧的系统菜单,验证 wifi 网络是否已连接:

    GNOME wifi 连接

    如果网络出现在列表中,它已被连接。

  2. Ping 主机名或 IP 地址:

    # ping -c 3 example.com

10.5. 使用 nmtui配置 wifi 连接

nmtui 应用程序为 NetworkManager 提供了一个基于文本的用户界面。您可以使用 nmtui 连接到 wifi 网络。

注意

nmtui 中:

  • 使用光标键导航。
  • 选择一个按钮并按 Enter 键。
  • 使用空格选择和 清除复选框

步骤

  1. 如果您不知道要在连接中使用的网络设备名称,显示可用的设备:

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    wlp2s0    wifi      unavailable             --
    ...
  2. 启动 nmtui

    # nmtui
  3. 选择 Edit a connection,并按 Enter
  4. Add 按钮。
  5. 从网络类型列表中选择 Wi-Fi,然后按 Enter
  6. 可选:为要创建的 NetworkManager 配置文件输入一个名称。

    在有多个配置文件的主机上,有意义的名称可以更容易识别配置文件的用途。

  7. Device 字段中输入网络设备名称。
  8. SSID 字段中输入 Wi-Fi 网络的名称,即服务集标识符(SSID)。
  9. Mode 字段设为默认值,Client
  10. 选择 Security 字段,按 Enter,然后从列表中设置网络的验证类型。

    根据您选择的验证类型,nmtui 会显示不同的字段。

  11. 填写与验证类型相关的字段。
  12. 如果 Wi-Fi 网络需要静态 IP 地址:

    1. 按协议旁边的 Automatic 按钮,然后从显示的列表中选择 Manual
    2. 按您要配置的协议旁边的 Show 按钮,来显示其他字段并填写它们。
  13. OK 按钮来创建并自动激活新连接。

    nmtui wi fi 动态 IP
  14. Back 按钮返回到主菜单。
  15. 选择 Quit,然后按 Enter 来关闭 nmtui 应用程序。

验证

  1. 显示活跃连接:

    # nmcli connection show --active
    NAME    ID                                    TYPE  DEVICE
    Office  2501eb7e-7b16-4dc6-97ef-7cc460139a58  wifi  wlp0s20f3

    如果输出列出了您创建的 wifi 连接,则连接会活跃。

  2. Ping 主机名或 IP 地址:

    # ping -c 3 example.com

10.6. 使用 nm-connection-editor 配置 wifi 连接

您可以使用 nm-connection-editor 应用程序为无线网络创建连接配置集。在此应用程序中,您可以配置 RHEL 支持的所有 wifi 网络验证类型。

默认情况下,NetworkManager 为连接配置集启用自动连接功能,并在有可用时自动连接到保存的网络。

先决条件

  • 在主机上安装了 wifi 设备。
  • 如果存在硬件交换机,启用 wifi 设备。

流程

  1. 打开终端窗口并输入:

    # nm-connection-editor
  2. 点击 + 按钮来添加一个新的连接。
  3. 选择 Wi-Fi 连接类型,再点 Create
  4. 可选:为连接配置集设置名称。
  5. 可选:在 General 选项卡中配置网络配置集无法自动连接。

    如果停用这个功能,您必须总是手动连接到网络,例如使用 GNOME settings 或 GNOME 系统菜单。

  6. Wi-Fi 选项卡中,在 SSID 字段中输入服务设置标识符 (SSID)。
  7. Wi-Fi Security 选项卡中,为网络选择身份验证类型,如 WPA3 Personal,然后输入密码。

    根据所选安全性,应用程序会显示其他字段。相应地填充它们。详情请参阅 wifi 网络管理员。

  8. 在 IPv4 选项卡上配置 IPv4 设置,并在 IPv6 选项卡上配置 IPv6 设置。
  9. 点击 Save
  10. 关闭 Network Connections 窗口。

验证

  1. 打开顶栏右侧的系统菜单,验证 wifi 网络是否已连接:

    GNOME wifi 连接

    如果网络出现在列表中,它已被连接。

  2. Ping 主机名或 IP 地址:

    # ping -c 3 example.com

10.7. 使用 network RHEL 系统角色配置带有 802.1X 网络身份验证的 wifi 连接

使用 RHEL 系统角色,您可以自动化 wifi 连接的创建。例如,您可以使用 Ansible Playbook ,远程为 wlp1s0 接口添加无线连接配置文件。创建的配置集使用 802.1X 标准将客户端验证到 Wi-Fi 网络。该 playbook 将连接配置集配置为使用 DHCP。要配置静态 IP 设置,相应地调整 ip 字典中的参数。

前提条件

  • 您已准备好控制节点和受管节点
  • 以可在受管主机上运行 playbook 的用户登录到控制节点。
  • 用于连接到受管节点的帐户对其具有 sudo 权限。
  • 网络支持 802.1X 网络身份验证。
  • 您已在受管节点上安装了 wpa_supplicant 软件包。
  • DHCP 位于受管节点的网络中。
  • control 节点上存在 TLS 身份验证所需的以下文件:

    • 客户端密钥存储在 /srv/data/client.key 文件中。
    • 客户端证书存储在 /srv/data/client.crt 文件中。
    • CA 证书存储在 /srv/data/ca.crt 文件中。

流程

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure a wifi connection with 802.1X authentication
      hosts: managed-node-01.example.com
      tasks:
        - name: Copy client key for 802.1X authentication
          ansible.builtin.copy:
            src: "/srv/data/client.key"
            dest: "/etc/pki/tls/private/client.key"
            mode: 0400
    
        - name: Copy client certificate for 802.1X authentication
          ansible.builtin.copy:
            src: "/srv/data/client.crt"
            dest: "/etc/pki/tls/certs/client.crt"
    
        - name: Copy CA certificate for 802.1X authentication
          ansible.builtin.copy:
            src: "/srv/data/ca.crt"
            dest: "/etc/pki/ca-trust/source/anchors/ca.crt"
    
        - block:
            - ansible.builtin.import_role:
                name: rhel-system-roles.network
              vars:
                network_connections:
                  - name: Configure the Example-wifi profile
                    interface_name: wlp1s0
                    state: up
                    type: wireless
                    autoconnect: yes
                    ip:
                      dhcp4: true
                      auto6: true
                    wireless:
                      ssid: "Example-wifi"
                      key_mgmt: "wpa-eap"
                    ieee802_1x:
                      identity: "user_name"
                      eap: tls
                      private_key: "/etc/pki/tls/client.key"
                      private_key_password: "password"
                      private_key_password_flags: none
                      client_cert: "/etc/pki/tls/client.pem"
                      ca_cert: "/etc/pki/tls/cacert.pem"
                      domain_suffix_match: "example.com"

    这些设置为 wlp1s0 接口定义一个 wifi 连接配置文件。该配置文件使用 802.1X 标准向 wifi 网络验证客户端。连接从 DHCP 服务器检索 IPv4 地址、IPv6 地址、默认网关、路由、DNS 服务器和搜索域,以及 IPv6 无状态地址自动配置(SLAAC)。

  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

10.8. 使用 nmcli在现有配置集中配置带有 802.1X 网络身份验证的 wifi 连接

使用 nmcli 工具,您可以将客户端配置为向网络进行身份验证。例如,您可以在名为 wlp1s0 的 NetworkManager wifi 连接配置文件中使用 Microsoft Challenge-Handshake Authentication Protocol 版本 2 (MSCHAPv2)配置保护扩展验证协议(PEAP)身份验证。

先决条件

  • 网络必须具有 802.1X 网络身份验证。
  • Wi-Fi 连接配置集存在于 NetworkManager 中,且具有有效的 IP 配置。
  • 如果需要客户端验证验证方的证书,则证书颁发机构(CA)证书必须存储在 /etc/pki/ca-trust/source/anchors/ 目录中。
  • wpa_supplicant 软件包已安装。

流程

  1. 将 Wi-Fi 安全模式设为 wpa-eap、将可扩展验证协议(EAP)设为 peap,将内部验证协议设为 mschapv2,和用户名:

    # nmcli connection modify wlp1s0 wireless-security.key-mgmt wpa-eap 802-1x.eap peap 802-1x.phase2-auth mschapv2 802-1x.identity user_name

    请注意,您必须在单个命令中设置 wireless-security.key-mgmt802-1x.eap802-1x.phase2-auth802-1x.identity 参数。

  2. 另外,还可将该密码存储在配置中:

    # nmcli connection modify wlp1s0 802-1x.password password
    重要

    默认情况下,NetworkManager 在 /etc/sysconfig/network-scripts/keys-connection_name 文件中以纯文本形式存储密码,该文件只对 root 用户可读。但是,配置文件中的纯文本密码可能会造成安全风险。

    要提高安全性,请将 802-1x.password-flags 参数设为 0x1。有了这个设置,在具有 GNOME 桌面环境或运行 nm-applet 的服务器上,NetworkManager 从这些服务中检索密码。在其他情况下,NetworkManager 会提示输入密码。

  3. 如果客户端需要验证验证器的证书,请将连接配置文件中的 802-1x.ca-cert 参数设为 CA 证书的路径:

    # nmcli connection modify wlp1s0 802-1x.ca-cert /etc/pki/ca-trust/source/anchors/ca.crt
    注意

    为安全起见,客户端应验证验证器的证书。

  4. 激活连接配置集:

    # nmcli connection up wlp1s0

验证

  • 访问需要网络身份验证的网络上的资源。

其他资源

10.9. 手动设置无线规范域

在 RHEL 上,udev 规则执行 setregdomain 工具来设置无线规范域。然后,实用程序为内核提供此信息。

默认情况下,setregdomain 会尝试自动决定国家代码。如果此操作失败,则无线规范域设置可能会出错。要临时解决这个问题,您可以手动设置国家代码。

重要

手动设置规范域将禁用自动检测。因此,如果您稍后在不同的国家/地区使用计算机,之前配置的设置可能不再正确。在这种情况下,删除 /etc/sysconfig/regdomain 文件以切回到自动检测,或使用此流程再次更新规范域设置。

流程

  1. 可选:显示当前规范域设置:

    # iw reg get
    global
    country US: DFS-FCC
    ...
  2. 使用以下内容创建 /etc/sysconfig/regdomain 文件:

    COUNTRY=<country_code>

    COUNTRY 变量设置为一个 ISO 3166-1 alpha2 国家代码,如 DE 代表德国,US 代表美国。

  3. 设置规范域:

    # setregdomain

验证

  • 显示规范域设置:

    # iw reg get
    global
    country DE: DFS-ETSI
    ...

其他资源

第 11 章 将 RHEL 配置为 WPA2 或 WPA3 个人访问令牌

在具有 wifi 设备的主机上,您可以使用 NetworkManager 将这个主机配置为接入点。Wi-Fi Protected Access 2 (WPA2)和 Wi-Fi Protected Access 3 (WPA3)提供安全验证方法,无线客户端可以使用预共享密钥(PSK)连接到访问点,并使用 RHEL 主机上和网络中的服务。

当您配置接入点时,NetworkManager 会自动:

  • 配置 dnsmasq 服务来为客户端提供 DHCP 和 DNS 服务
  • 启用 IP 转发
  • 添加 nftables 防火墙规则来伪装来自 wifi 设备的流量并配置 IP 转发

前提条件

  • wifi 设备支持在接入点模式下运行。
  • wifi 设备没有使用。
  • 主机可以访问互联网。

流程

  1. 列出 wifi 设备来识别应提供访问点的 wifi 设备:

    # nmcli device status | grep wifi
    wlp0s20f3    wifi   disconnected    --
  2. 验证该设备是否支持访问点模式:

    # nmcli -f WIFI-PROPERTIES.AP device show wlp0s20f3
    WIFI-PROPERTIES.AP:     yes

    要使用 wifi 设备作为接入点,该设备必须支持此功能。

  3. 安装 dnsmasqNetworkManager-wifi 软件包:

    # yum install dnsmasq NetworkManager-wifi

    NetworkManager 使用 dnsmasq 服务为访问点的客户端提供 DHCP 和 DNS 服务。

  4. 创建初始访问点配置:

    # nmcli device wifi hotspot ifname wlp0s20f3 con-name Example-Hotspot ssid Example-Hotspot password "password"

    此命令在 wlp0s20f3 设备(提供 WPA2 和 WPA3 个人访问令牌)上创建一个连接配置集。无线网络的名称,Service Set Identifier (SSID) 是 Example-Hotspot,并使用预共享密钥 密码

  5. 可选:将访问点配置为只支持 WPA3:

    # nmcli connection modify Example-Hotspot 802-11-wireless-security.key-mgmt sae
  6. 默认情况下,NetworkManager 使用 IP 地址 10.42.0.1 作为 wifi 设备,并将剩余的 10.42.0.0/24 子网的 IP 地址分配给客户端。要配置不同的子网和 IP 地址,请输入:

    # nmcli connection modify Example-Hotspot ipv4.addresses 192.0.2.254/24

    您设置的 IP 地址(本例中为 192.0.2.254 )是 NetworkManager 分配给 wifi 设备的 IP 地址。客户端将此 IP 地址用作默认网关和 DNS 服务器。

  7. 激活连接配置集:

    # nmcli connection up Example-Hotspot

验证

  1. 在服务器中:

    1. 验证 NetworkManager 是否启动了 dnsmasq 服务,并且服务侦听端口 67 (DHCP) 和 53 (DNS):

      # ss -tulpn | egrep ":53|:67"
      udp   UNCONN 0  0   10.42.0.1:53    0.0.0.0:*    users:(("dnsmasq",pid=55905,fd=6))
      udp   UNCONN 0  0     0.0.0.0:67    0.0.0.0:*    users:(("dnsmasq",pid=55905,fd=4))
      tcp   LISTEN 0  32  10.42.0.1:53    0.0.0.0:*    users:(("dnsmasq",pid=55905,fd=7))
    2. 显示 nftables 规则集,以确保 NetworkManager 为来自 10.42.0.0/24 子网的流量启用转发和伪装:

      # nft list ruleset
      table ip nm-shared-wlp0s20f3 {
          chain nat_postrouting {
              type nat hook postrouting priority srcnat; policy accept;
              ip saddr 10.42.0.0/24 ip daddr != 10.42.0.0/24 masquerade
          }
      
          chain filter_forward {
              type filter hook forward priority filter; policy accept;
              ip daddr 10.42.0.0/24 oifname "wlp0s20f3" ct state { established, related } accept
              ip saddr 10.42.0.0/24 iifname "wlp0s20f3" accept
              iifname "wlp0s20f3" oifname "wlp0s20f3" accept
              iifname "wlp0s20f3" reject
              oifname "wlp0s20f3" reject
          }
      }
  2. 在带有 wifi 适配器的客户端中:

    1. 显示可用网络列表:

      # nmcli device wifi
      IN-USE  BSSID              SSID             MODE   CHAN  RATE      SIGNAL  BARS  SECURITY
              00:53:00:88:29:04  Example-Hotspot  Infra  11    130 Mbit/s  62      ▂▄▆_  WPA3
      ...
    2. 连接到 Example-Hotspot 无线网络。请参阅管理 Wi-Fi 连接
    3. 对远程网络或互联网中的主机发出 ping 以验证连接是否正常工作:

      # ping -c 3 www.redhat.com

其他资源

  • nm-settings(5) 手册页

第 12 章 使用 MACsec 加密同一物理网络中的第 2 层流量

您可以使用 MACsec 来保护两个设备(点到点)之间的通信。例如,您的分支办公室通过城际以太网与中心办公室连接,您可以在连接办公室的两个主机上配置 MACsec,以提高安全性。

介质访问控制安全(MACsec)是一种第 2 层的协议,用于保护以太网链路上的不同的流量类型,包括:

  • 动态主机配置协议(DHCP)
  • 地址解析协议(ARP)
  • 互联网协议版本 4 / 6(IPv4 / IPv6)以及
  • 任何使用 IP的流量(如 TCP 或 UDP)

MACsec 默认使用 GCM-AES-128 算法加密并验证 LAN 中的所有流量,并使用预共享密钥在参与的主机之间建立连接。如果要更改预共享密钥,您需要更新网络中使用 MACsec 的所有主机上的 NM 配置。

MACsec 连接将以太网设备(如以太网网卡、VLAN 或隧道设备)用作父设备。您可以只在 MACsec 设备上设置 IP 配置,以便只使用加密连接与其他主机进行通信,也可以在父设备上设置 IP 配置。在后者的情况下,您可以使用父设备使用未加密连接和 MACsec 设备加密连接与其他主机通信。

macsec 不需要任何特殊硬件。例如,您可以使用任何交换机,除非您只想在主机和交换机之间加密流量。在这种情况下,交换机还必须支持 MACsec。

换句话说,有 2 种常用的方法来配置 MACsec:

  • 主机到主机,和
  • 主机到交换机,然后交换机到其他主机
重要

您只能在相同(物理或虚拟)LAN 的主机间使用 MACsec。

12.1. 使用 nmcli配置 MACsec 连接

您可以使用 nmcli 工具将以太网接口配置为使用 MACsec。例如,您可以在通过以太网连接的两个主机之间创建 MACsec 连接。

流程

  1. 在配置 MACsec 的第一个主机上:

    • 为预共享密钥创建连接关联密钥(CAK)和连接关联密钥名称(CKN):

      1. 创建一个 16 字节的十六进制 CAK:

        # dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        50b71a8ef0bd5751ea76de6d6c98c03a
      2. 创建一个 32 字节的十六进制 CKN:

        # dd if=/dev/urandom count=32 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550
  2. 在您要通过 MACsec 连接连接的两个主机上:
  3. 创建 MACsec 连接:

    # nmcli connection add type macsec con-name macsec0 ifname macsec0 connection.autoconnect yes macsec.parent enp1s0 macsec.mode psk macsec.mka-cak 50b71a8ef0bd5751ea76de6d6c98c03a macsec.mka-ckn f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

    macsec.mka-cakmacsec.mka-ckn 参数中使用上一步生成的 CAK 和 CKN。在 MACsec-protected 网络的每个主机上,这些值必须相同。

  4. 配置 MACsec 连接中的 IP 设置。

    1. 配置 IPv4 设置。例如,要为 macsec0 连接设置静态 IPv4 地址、网络掩码、默认网关和 DNS 服务器,请输入:

      # nmcli connection modify macsec0 ipv4.method manual ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253'
    2. 配置 IPv6 设置。例如,要为 macsec0 连接设置静态 IPv6 地址、网络掩码、默认网关和 DNS 服务器,请输入:

      # nmcli connection modify macsec0 ipv6.method manual ipv6.addresses '2001:db8:1::1/32' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd'
  5. 激活连接:

    # nmcli connection up macsec0

验证

  1. 验证流量是否加密:

    # tcpdump -nn -i enp1s0
  2. 可选:显示未加密的流量:

    # tcpdump -nn -i macsec0
  3. 显示 MACsec 统计信息:

    # ip macsec show
  4. 显示每种保护类型的单独的计数器:仅完整性(关闭加密)和加密(打开加密)

    # ip -s macsec show

12.2. 其他资源

第 13 章 开始使用 IPVLAN

IPVLAN 是虚拟网络设备的驱动程序,可在容器环境中用于访问主机网络。IPVLAN 会将一个 MAC 地址公开给外部网络,而不管主机网络中所创建的 IPVLAN 设备的数量。这意味着,用户可以在多个容器中有多个 IPVLAN 设备,相应的交换机会读取单个 MAC 地址。当本地交换机对它可管理的 MAC 地址的总数施加约束时,IPVLAN 驱动程序很有用。

13.1. IPVLAN 模式

IPVLAN 有以下模式可用:

  • L2 模式

    在 IPVLAN L2 模式 中,虚拟设备接收并响应地址解析协议(ARP)请求。netfilter 框架仅在拥有虚拟设备的容器中运行。容器化流量的默认命名空间中不会执行 netfilter 链。使用L2 模式会提供良好的性能,但对网络流量的控制要小。

  • L3 模式

    L3 模式 中,虚拟设备只处理 L3 以上的流量。虚拟设备不响应 ARP 请求,用户必须手动为相关点上的 IPVLAN IP 地址配置邻居条目。相关容器的出口流量位于默认命名空间中的 netfilter POSTROUTING 和 OUTPUT 链上,而入口流量以与 L2 模式 相同的方式被线程化。使用L3 模式会提供很好的控制,但可能会降低网络流量性能。

  • L3S 模式

    L3S 模式 中,虚拟设备处理方式与 L3 模式 中的处理方式相同,但相关容器的出口和入口流量都位于默认命名空间中的 netfilter 链上。L3S 模式 的行为方式和 L3 模式 相似,但提供了对网络的更大控制。

注意

对于 L3L3S 模式,IPVLAN 虚拟设备不接收广播和多播流量。

13.2. IPVLAN 和 MACVLAN 的比较

下表显示了 MACVLAN 和 IPVLAN 之间的主要区别:

MACVLANIPVLAN

为每个 MACVLAN 设备使用 MAC 地址。

请注意,如果交换机达到了其 MAC 表中可以存储的最大 MAC 地址数,则连接可能会丢失。

使用不限制 IPVLAN 设备数的单个 MAC 地址。

全局命名空间的 Netfilter 规则不会影响子命名空间中到 MACVLAN 设备或来自 MACVLAN 设备的流量。

可以在 L3 mode L3S mode 下控制到 IPVLAN 设备或来自 IPVLAN 设备的流量。

IPVLAN 和 MACVLAN 不需要任何级别的封装。

13.3. 使用 iproute2 创建和配置 IPVLAN 设备

此流程演示了如何使用 iproute2 设置 IPVLAN 设备。

步骤

  1. 要创建 IPVLAN 设备,请输入以下命令:

    # ip link add link real_NIC_device name IPVLAN_device type ipvlan mode l2

    请注意:网络接口控制器(NIC)是将计算机连接到网络的一个硬件组件。

    例 13.1. 创建 IPVLAN 设备

    # ip link add link enp0s31f6 name my_ipvlan type ipvlan mode l2
    # ip link
    47: my_ipvlan@enp0s31f6: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000 link/ether e8:6a:6e:8a:a2:44 brd ff:ff:ff:ff:ff:ff
  2. 要给接口分配 IPv4IPv6 地址,请输入以下命令:

    # ip addr add dev IPVLAN_device IP_address/subnet_mask_prefix
  3. 如果在 L3 模式L3S 模式中配置 IPVLAN 设备,请进行以下设置:

    1. 在远程主机上为远程 peer 配置邻居设置:

      # ip neigh add dev peer_device IPVLAN_device_IP_address lladdr MAC_address

      其中 MAC_address 是 IPVLAN 设备所基于的实际网卡的 MAC 地址。

    2. 使用以下命令为 L3 模式 配置 IPVLAN 设备:

      # ip route add dev <real_NIC_device> <peer_IP_address/32>

      对于 L3S 模式

      # ip route add dev real_NIC_device peer_IP_address/32

      其中 IP-address 代表远程 peer 的地址。

  4. 要设置活跃的 IPVLAN 设备,请输入以下命令:

    # ip link set dev IPVLAN_device up
  5. 要检查 IPVLAN 设备是否活跃,请在远程主机中执行以下命令:

    # ping IP_address

    其中 IP_address 使用 IPVLAN 设备的 IP 地址。

第 14 章 配置 NetworkManager 以忽略某些设备

默认情况下,NetworkManager 管理除 loopback (lo)设备以外的所有设备。但是,您可以将 NetworkManager 配置为 unmanaged,以忽略某些设备。使用这个设置,您可以手动管理这些设备,例如使用脚本。

14.1. 永久将设备配置为网络管理器(NetworkManager)中非受管设备

您可以根据以下条件将设备永久配置为 非受管,如接口名称、MAC 地址或设备类型。

要临时将网络设备配置为 unmanaged,请参阅 在 NetworkManager 中临时将设备配置为非受管

步骤

  1. 可选:显示要识别您要设置为 非受管 的设备或 MAC 地址的设备列表:

    # ip link show
    ...
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:74:79:56 brd ff:ff:ff:ff:ff:ff
    ...
  2. 使用以下内容创建 /etc/NetworkManager/conf.d/99-unmanaged-devices.conf 文件:

    • 要将特定接口配置为非受管接口,请添加:

      [keyfile]
      unmanaged-devices=interface-name:enp1s0
    • 要将具有特定 MAC 地址的设备配置为非受管,请添加:

      [keyfile]
      unmanaged-devices=mac:52:54:00:74:79:56
    • 要将特定类型的所有设备配置为 unmanaged,请添加:

      [keyfile]
      unmanaged-devices=type:ethernet
    • 要将多个设备设置为非受管设备,请使用分号在 unmanaged-devices 参数中分隔条目,例如:

      [keyfile]
      unmanaged-devices=interface-name:enp1s0;interface-name:enp7s0
  3. 重新载入 NetworkManager 服务:

    # systemctl reload NetworkManager

验证

  • 显示设备列表:

    # nmcli device status
    DEVICE  TYPE      STATE      CONNECTION
    enp1s0  ethernet  unmanaged  --
    ...

    enp1s0 设备旁边的 unmanaged 状态表示 NetworkManager 没有管理该设备。

故障排除

  • 如果该设备没有显示为 unmanaged,请显示 NetworkManager 配置:

    # NetworkManager --print-config
    ...
    [keyfile]
    unmanaged-devices=interface-name:enp1s0
    ...

    如果输出与您配置的设置不匹配,请确保没有优先级较高的配置文件覆盖了您的设置。有关 NetworkManager 如何合并多个配置文件的详情,请查看 NetworkManager.conf (5) 手册页。

14.2. 将设备临时配置为在 NetworkManager 中不被管理

您可以将设备临时配置为 非受管

可以使用这个方法用于特定目的,如测试。要永久将网络设备配置为 unmanaged,请参阅 在 NetworkManager 中永久将设备配置为非受管

步骤

  1. 可选:显示设备列表,以便识别您要将其设置为 unmanaged 的设备:

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp1s0  ethernet  disconnected  --
    ...
  2. enp1s0 设备设置为 unmanaged 状态:

    # nmcli device set enp1s0 managed no

验证

  • 显示设备列表:

    # nmcli device status
    DEVICE  TYPE      STATE      CONNECTION
    enp1s0  ethernet  unmanaged  --
    ...

    enp1s0 设备旁边的 unmanaged 状态表示 NetworkManager 没有管理该设备。

其他资源

  • NetworkManager.conf(5) man page

第 15 章 创建 dummy 接口

作为 Red Hat Enterprise Linux 用户,您可以创建并使用 dummy 网络接口进行调试和测试。dummy 接口提供了一个设备来路由数据包而无需实际传送数据包。它可让您创建使用网络管理器(NetworkManager)管理的其他回送设备,使不活跃 SLIP(Serial Line Internet Protocol)地址类似本地程序的实际地址。

15.1. 使用 nmcli使用 IPv4 和 IPv6 地址创建 dummy 接口

您可以创建一个带有各种设置的 dummy 接口,如 IPv4 和 IPv6 地址。创建接口后,NetworkManager 会自动将其分配给默认的 public firewalld 区域。

流程

  • 创建一个具有静态 IPv4 和 IPv6 地址,名为 dummy0 的伪接口:

    # nmcli connection add type dummy ifname dummy0 ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv6.method manual ipv6.addresses 2001:db8:2::1/64
    注意

    要配置没有 IPv4 和 IPv6 地址的伪接口,请将 ipv4.methodipv6.method 参数设置为 disabled。否则,IP 自动配置将失败,NetworkManager 会停用连接,并删除设备。

验证

  • 列出连接配置文件:

    # nmcli connection show
    NAME            UUID                                  TYPE     DEVICE
    dummy-dummy0    aaf6eb56-73e5-4746-9037-eed42caa8a65  dummy    dummy0

其它资源

  • nm-settings(5) 手册页

第 16 章 使用 NetworkManager 为特定连接禁用 IPv6

在使用 NetworkManager 管理网络接口的系统上,如果网络只使用 IPv4,则禁用 IPv6 协议。如果您禁用 IPv6,NetworkManager 会自动在内核中设置对应的 sysctl 值。

注意

如果使用内核可调参数或内核引导参数禁用 IPv6,则必须额外考虑系统配置。如需更多信息,请参阅文章 如何在 RHEL 中禁用或启用 IPv6 协议?

16.1. 使用 nmcli在连接中禁用 IPv6

您可以使用 nmcli 实用程序在命令行中禁用 IPv6 协议。

前提条件

  • 系统使用 NetworkManager 来管理网络接口。

步骤

  1. 另外,还可显示网络连接列表:

    # nmcli connection show
    NAME    UUID                                  TYPE      DEVICE
    Example 7a7e0151-9c18-4e6f-89ee-65bb2d64d365  ethernet  enp1s0
    ...
  2. 将连接的 ipv6.method 参数设为 disabled

    # nmcli connection modify Example ipv6.method "disabled"
  3. 重启网络连接:

    # nmcli connection up Example

验证

  1. 显示设备的 IP 设置:

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:6b:74:be brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.10.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever

    如果没有显示 inet6 条目,则 IPv6 在该设备上被禁用。

  2. 验证 /proc/sys/net/ipv6/conf/enp1s0/disable_ipv6 文件现在是否包含值 1

    # cat /proc/sys/net/ipv6/conf/enp1s0/disable_ipv6
    1

    1 表示针对该设备禁用 IPv6

第 17 章 更改主机名

系统的主机名是系统本身的名称。您可在安装 RHEL 时设置名称,之后可以更改它。

17.1. 使用 nmcli更改主机名

您可以使用 nmcli 工具更新系统主机名。请注意,其他工具可能会使用不同的术语,如静态或持久主机名。

流程

  1. 可选:显示当前主机名设置:

    # nmcli general hostname
    old-hostname.example.com
  2. 设置新主机名:

    # nmcli general hostname new-hostname.example.com
  3. NetworkManager 自动重启 systemd-hostnamed 来激活新主机名。要使更改生效,请重启主机:

    # reboot

    或者,如果您知道哪个服务使用主机名:

    1. 重启在服务启动时仅读取主机名的所有服务:

      # systemctl restart <service_name>
    2. 活跃的 shell 用户必须重新登录才能使更改生效。

验证

  • 显示主机名:

    # nmcli general hostname
    new-hostname.example.com

17.2. 使用 hostnamectl 更改主机名

您可以使用 hostnamectl 工具更新主机名。默认情况下,这个工具设置以下主机名类型:

  • 静态主机名:存储在 /etc/hostname 文件中。通常,服务使用此名称作为主机名。
  • 用户友善的主机名:一个描述性名称,如 数据中心 A 中的代理服务器
  • 临时主机名:通常从网络配置接收的回退值。

步骤

  1. 可选:显示当前主机名设置:

    # hostnamectl status --static
    old-hostname.example.com
  2. 设置新主机名:

    # hostnamectl set-hostname new-hostname.example.com

    这个命令将静态、用户友善和临时主机名设为新值。要只设置一个特定类型,请将 --static--pretty--transient 选项传给命令。

  3. hostnamectl 工具自动重启 systemd-hostnamed 来激活新主机名。要使更改生效,请重启主机:

    # reboot

    或者,如果您知道哪个服务使用主机名:

    1. 重启在服务启动时仅读取主机名的所有服务:

      # systemctl restart <service_name>
    2. 活跃的 shell 用户必须重新登录才能使更改生效。

验证

  • 显示主机名:

    # hostnamectl status --static
    new-hostname.example.com

其他资源

  • hostnamectl(1)
  • systemd-hostnamed.service(8)

第 18 章 配置 NetworkManager DHCP 设置

NetworkManager 提供与 DHCP 相关的不同的配置选项。例如,您可以将 NetworkManager 配置为使用内置的 DHCP 客户端(默认)或外部客户端,您可以影响单个配置文件的 DHCP 设置。

18.1. 更改 NetworkManager 的 DHCP 客户端

默认情况下,NetworkManager 使用其内部的 DHCP 客户端。但是,如果您需要不提供内置客户端的 DHCP 客户端,您也可以将 NetworkManager 配置为使用 dhclient

请注意,RHEL 不提供 dhcpcd,因此 NetworkManager 无法使用这个客户端。

流程

  1. 使用以下内容创建 /etc/NetworkManager/conf.d/dhcp-client.conf 文件:

    [main]
    dhcp=dhclient

    您可以对 internal (默认)或 dhclient 设置 dhcp 参数。

  2. 如果对 dhclient 设置 dhcp 参数,请安装 dhcp-client 软件包:

    # yum install dhcp-client
  3. 重启 NetworkManager:

    # systemctl restart NetworkManager

    请注意,重启会临时中断所有网络连接。

验证

  • /var/log/messages 日志文件中搜索类似于如下的条目:

    Apr 26 09:54:19 server NetworkManager[27748]: <info>  [1650959659.8483] dhcp-init: Using DHCP client 'dhclient'

    此日志条目确认 NetworkManager 使用 dhclient 作为 DHCP 客户端。

其他资源

  • NetworkManager.conf(5) man page

18.2. 配置 NetworkManager 连接的 DHCP 行为

DHCP 客户端在每次连接到网络时都从 DHCP 服务器请求动态 IP 地址和对应配置信息。

当您将连接配置为从 DHCP 服务器检索 IP 地址时,网络管理器(NetworkManager)从 DHCP 服务器请求 IP 地址。默认情况下,客户端会等待 45 秒时间完成此请求。当 DHCP 连接启动时,dhcp 客户端会从 DHCP 服务器请求 IP 地址。

先决条件

  • 在主机上配置了使用 DHCP 的连接。

流程

  1. 设置 ipv4.dhcp-timeoutipv6.dhcp-timeout 属性。例如,要将这两个选项都设为 30 秒,请输入:

    # nmcli connection modify <connection_name> ipv4.dhcp-timeout 30 ipv6.dhcp-timeout 30

    另外,将参数设置为 infinity 以配置网络管理器(NetworkManager)不会停止尝试请求和续订 IP 地址,直到成功为止。

  2. 可选:配置如果网络管理器(NetworkManager)在超时前没有接收 IPv4 地址时的行为:

    # nmcli connection modify <connection_name> ipv4.may-fail <value>

    如果将 ipv4.may-fail 选项设为:

    • yes,连接的状态取决于 IPv6 配置:

      • 如果启用了 IPv6 配置并成功,NetworkManager 会激活 IPv6 连接,不再尝试激活 IPv4 连接。
      • 如果禁用或未配置 IPv6 配置,连接会失败。
    • no,连接会被停止。在这种情况下:

      • 如果启用了连接的 autoconnect 属性,NetworkManager 会根据 autoconnect-retries 属性中设置的值尝试多次激活连接。默认值为 4
      • 如果连接仍然无法获得 DHCP 地址,则自动激活会失败。请注意,5 分钟后,自动连接过程会再次启动,从 DHCP 服务器获取 IP 地址。
  3. 可选:配置如果网络管理器(NetworkManager)在超时前没有接收 IPv6 地址时的行为:

    # nmcli connection modify <connection_name> ipv6.may-fail <value>

其它资源

  • nm-settings(5) 手册页

第 19 章 使用 NetworkManager 的一个分配程序脚本运行 hclient exit hooks

您可以使用 NetworkManager 分配程序脚本来执行 dhclient exit hooks。

19.1. NetworkManager 分配程序脚本的概念

在发生网络事件时,NetworkManager-dispatcher 服务会按字母顺序执行用户提供的脚本。这些脚本通常是 shell 脚本,但可以是任何可执行的脚本或应用程序。例如,您可以使用分配程序脚本来调整您无法使用 NetworkManager 进行管理的与网络相关的设置。

您可以在以下目录中存储分配程序脚本:

  • /etc/NetworkManager/dispatcher.d/root 用户可以编辑的分配程序脚本的通用位置。
  • /usr/lib/NetworkManager/dispatcher.d/: 用于预先部署的不可变分配程序脚本。

为了安全起见,NetworkManager-dispatcher 服务只有在满足以下条件时才执行脚本:

  • 脚本归 root 用户所有。
  • 该脚本仅可由 root 读写。
  • 脚本上没有设置 setuid 位。

NetworkManager-dispatcher 服务使用两个参数运行每个脚本:

  1. 操作所在的设备的接口名称。
  2. 当接口被激活时,如 up 操作。

NetworkManager(8) 手册页中的 分配程序脚本 部分提供了在脚本中可以使用的操作和环境变量的概述。

NetworkManager-dispatcher 服务一次运行一个脚本,但与主 NetworkManager 进程异步运行。请注意,如果脚本已排队,服务将始终运行它,即使后续事件使其过时。但是,NetworkManager-dispatcher 服务运行脚本,它们是指向 /etc/NetworkManager/dispatcher.d/no-wait.d/ 中的文件的符号链接,而无需等待之前脚本的终止,且并行运行。

其他资源

  • NetworkManager(8) 手册页

19.2. 创建运行 dhclient exit hooks 的 NetworkManager 分配程序脚本

当 DHCP 服务器分配或更新 IPv4 地址时,NetworkManager 可以运行存储在 /etc/dhcp/dhclient-exit-hooks.d/ 目录中的分配程序脚本。然后,分配程序脚本可以运行 dhclient exit hooks。

先决条件

  • dhclient exit hooks 存储在 /etc/dhcp/dhclient-exit-hooks.d/ 目录下。

步骤

  1. 使用以下内容创建 /etc/NetworkManager/dispatcher.d/12-dhclient-down 文件:

    #!/bin/bash
    # Run dhclient.exit-hooks.d scripts
    
    if [ -n "$DHCP4_DHCP_LEASE_TIME" ] ; then
      if [ "$2" = "dhcp4-change" ] || [ "$2" = "up" ] ; then
        if [ -d /etc/dhcp/dhclient-exit-hooks.d ] ; then
          for f in /etc/dhcp/dhclient-exit-hooks.d/*.sh ; do
            if [ -x "${f}" ]; then
              . "${f}"
            fi
          done
        fi
      fi
    fi
  2. root 用户设为文件的所有者:

    # chown root:root /etc/NetworkManager/dispatcher.d/12-dhclient-down
  3. 设置权限,以便只有 root 用户才能执行它:

    # chmod 0700 /etc/NetworkManager/dispatcher.d/12-dhclient-down
  4. 恢复 SELinux 上下文:

    # restorecon /etc/NetworkManager/dispatcher.d/12-dhclient-down

其他资源

  • NetworkManager(8) 手册页

第 20 章 手动配置 /etc/resolv.conf 文件

默认情况下,NetworkManager 使用活跃的 NetworkManager 连接配置文件中的 DNS 设置动态更新 /etc/resolv.conf 文件。但是,您可以禁用此行为并在 /etc/resolv.conf 中手动配置 DNS 设置。

注意

或者,如果您在 /etc/resolv.conf 中需要特定 DNS 服务器顺序 ,请参阅配置 DNS 服务器的顺序

20.1. 在 NetworkManager 配置中禁用 DNS 处理

默认情况下,NetworkManager 在 /etc/resolv.conf 文件中管理 DNS 设置,您可以配置 DNS 服务器的顺序。或者,如果您更喜欢在 /etc/resolv.conf 中手动配置 DNS 设置,则可以在 NetworkManager 中禁用 DNS 处理。

流程

  1. 以 root 用户身份,使用文本编辑器创建包含以下内容的 /etc/NetworkManager/conf.d/90-dns-none.conf 文件:

    [main]
    dns=none
  2. 重新载入 NetworkManager 服务:

    # systemctl reload NetworkManager
    注意

    重新加载服务后,NetworkManager 不再更新 /etc/resolv.conf 文件。但是该文件的最后内容将被保留。

  3. (可选)从 /etc/resolv.conf 中删除 NetworkManager 生成的 注释,以避免混淆。

验证

  1. 编辑 /etc/resolv.conf 文件并手动更新配置。
  2. 重新载入 NetworkManager 服务:

    # systemctl reload NetworkManager
  3. 显示 /etc/resolv.conf 文件:

    # cat /etc/resolv.conf

    如果您成功禁用了 DNS 处理,NetworkManager 不会覆盖手动配置的设置。

故障排除

  • 显示 NetworkManager 配置,以确保没有其它具有高优先级的配置文件覆盖设置:

    # NetworkManager --print-config
    ...
    dns=none
    ...

其他资源

第 21 章 配置 DNS 服务器顺序

大多数应用程序使用 glibc 库的 getaddrinfo() 函数来解决 DNS 请求。默认情况下,glibc 将所有 DNS 请求发送到 /etc/resolv.conf 文件中指定的第一个 DNS 服务器。如果这个服务器没有回复,RHEL 会使用这个文件中的下一个服务器。使用 NetworkManager 可让您影响 etc/resolv.conf 中的 DNS 服务器顺序。

21.1. NetworkManager 如何在 /etc/resolv.conf 中对 DNS 服务器进行排序

NetworkManager 根据以下规则对 /etc/resolv.conf 文件中的 DNS 服务器进行排序:

  • 如果只有一个连接配置集,NetworkManager 将使用那个连接中指定的 IPv4 和 IPv6 DNS 服务器顺序。
  • 如果激活多个连接配置集,NetworkManager 会根据 DNS 优先级值对 DNS 服务器进行排序。如果您设置了 DNS 优先级,NetworkManager 的行为取决于 dns 参数中设置的值。您可以在 /etc/NetworkManager/NetworkManager.conf 文件的 [main] 部分中设置此参数:

    • dns=default 或者如果 dns 参数没有设置:

      NetworkManager 根据每个连接中的 ipv4.dns-priorityipv6.dns-priority 参数对不同的连接的 DNS 服务器进行排序。

      如果没有设置值,或者您将 ipv4.dns-priorityipv6.dns-priority 设为 0 ,则 NetworkManager 将使用全局默认值。请参阅 DNS 优先级参数的默认值

    • dns=dnsmasqdns=systemd-resolved

      当您使用这些设置中的一个时,NetworkManager 将 dnsmasq127.0.0.1127.0.0.53 设为 /etc/resolv.conf 文件中的 nameserver 条目。

      dnsmasqsystemd-resolved 服务将对 NetworkManager 连接中设置的搜索域的查询转发到该连接中指定的 DNS 服务器,并将对其他域的查询转发到带有默认路由的连接。当多个连接有相同的搜索域集时,dnsmasqsystemd-resolved 将这个域的查询转发到在具有最低优先级值的连接中设置的 DNS 服务器。

DNS 优先级参数的默认值

NetworkManager 对连接使用以下默认值:

  • 50 用于 VPN 连接
  • 100 用于其他连接
有效的 DNS 优先级值:

您可以将全局默认值和特定于连接的 ipv4.dns-priorityipv6.dns-priority 参数设为 -21474836472147483647 之间的值。

  • 低的值具有更高的优先级。
  • 负值具有一个特殊的效果,它会排除其他带有更大值的配置。例如,如果至少有一个连接具有负优先级值,NetworkManager 只使用在连接配置集中指定的具有最低优先级的 DNS 服务器。
  • 如果多个连接具有相同的 DNS 优先级,NetworkManager 会按照以下顺序排列 DNS 的优先顺序:

    1. VPN 连接
    2. 带有活跃的默认路由的连接。活跃的默认路由是具有最低指标的默认路由。

其他资源

21.2. 设置 NetworkManager 范围默认 DNS 服务器优先级值

NetworkManager 为连接使用以下 DNS 优先级默认值:

  • 50 用于 VPN 连接
  • 100 用于其他连接

您可以使用 IPv4 和 IPv6 连接的自定义默认值覆盖这些系统范围的默认值。

步骤

  1. 编辑 /etc/NetworkManager/NetworkManager.conf 文件:

    1. 添加 [connection] 部分(如果其不存在):

      [connection]
    2. 将自定义默认值添加到 [connection] 部分。例如,要将 IPv4 和 IPv6 的新默认值设为 200,请添加:

      ipv4.dns-priority=200
      ipv6.dns-priority=200

      您可以将参数设为 -21474836472147483647 之间的值。请注意,将参数设置为 0 将启用内置的默认值(对于 VPN 连接为 50 ,对于其他连接为 100 )。

  2. 重新载入 NetworkManager 服务:

    # systemctl reload NetworkManager

其他资源

  • NetworkManager.conf(5) man page

21.3. 设置网络管理器连接的 DNS 优先级

如果您需要特定 DNS 服务器顺序,您可以在连接配置集中设置优先级值。NetworkManager 使用这些值来在服务创建或更新 /etc/resolv.conf 文件时对服务器进行排序。

请注意,只有在您配置了多个与不同 DNS 服务器的连接时,设置 DNS 优先级才有意义。如果您只有一个与多个 DNS 服务器的连接,请在连接配置集中按首选顺序手动设置 DNS 服务器。

先决条件

  • 系统配置了多个网络管理器连接。
  • 系统在 /etc/NetworkManager/NetworkManager.conf 文件中未设置 dns 参数,或者该参数被设为了 default

步骤

  1. 另外,还可显示可用的连接:

    # nmcli connection show
    NAME           UUID                                  TYPE      DEVICE
    Example_con_1  d17ee488-4665-4de2-b28a-48befab0cd43  ethernet  enp1s0
    Example_con_2  916e4f67-7145-3ffa-9f7b-e7cada8f6bf7  ethernet  enp7s0
    ...
  2. 设置 ipv4.dns-priorityipv6.dns-priority 参数。例如,要将这两个参数都设置为 10,请输入:

    # nmcli connection modify <connection_name> ipv4.dns-priority 10 ipv6.dns-priority 10
  3. 另外,还可为其他连接重复前面的步骤。
  4. 重新激活您更新的连接:

    # nmcli connection up <connection_name>

验证

  • 显示 /etc/resolv.conf 文件的内容以验证 DNS 服务器的顺序是否正确:

    # cat /etc/resolv.conf

第 22 章 在不同域中使用不同的 DNS 服务器

默认情况下,Red Hat Enterprise Linux (RHEL)将所有 DNS 请求发送到 /etc/resolv.conf 文件中指定的第一个 DNS 服务器。如果这个服务器没有回复,RHEL 会使用这个文件中的下一个服务器。在一个 DNS 服务器无法解析所有域的环境中,管理员可将 RHEL 配置为将特定域的 DNS 请求发送到所选 DNS 服务器。

例如,您要将服务器连接到虚拟专用网络(VPN),VPN 中的主机使用 example.com 域。在这种情况下,您可以以下方式配置 RHEL ,以处理 DNS 查询:

  • 仅将 example.com 的 DNS 请求发送到 VPN 网络中的 DNS 服务器。
  • 将所有其他请求发送到使用默认网关在连接配置文件中配置的 DNS 服务器。

22.1. 在 NetworkManager 中使用 dnsmasq 将特定域的 DNS 请求发送到所选的 DNS 服务器

您可以将 NetworkManager 配置为启动 dnsmasq 的实例。然后,此 DNS 缓存服务器侦听 loopback 设备上的端口 53。因此,该服务只能从本地系统访问,而不可从网络访问。

使用这个配置,NetworkManager 将 nameserver 127.0.0.1 条目添加到 /etc/resolv.conf 文件中,dnsmasq 会动态将 DNS 请求路由 NetworkManager 连接配置文件中指定的相应的 DNS 服务器。

先决条件

  • 系统配置了多个网络管理器连接。
  • 在负责解析特定域的 NetworkManager 连接配置文件中配置了 DNS 服务器和搜索域。

    例如,要确保 VPN 连接中指定的 DNS 服务器解析对 example.com 域的查询,VPN 连接配置文件必须包含以下设置:

    • 可以解析 example.com的 DNS 服务器
    • ipv4.dns-searchipv6.dns-search 参数中设置为 example.com 的搜索域
  • dnsmasq 服务没有运行或配置为侦听与 localhost 不同的接口。

步骤

  1. 安装 dnsmasq 软件包:

    # yum install dnsmasq
  2. 编辑 /etc/NetworkManager/NetworkManager.conf 文件,并在 [main] 部分中设置以下条目:

    dns=dnsmasq
  3. 重新载入 NetworkManager 服务:

    # systemctl reload NetworkManager

验证

  1. NetworkManager 单元的 systemd 日志中搜索服务使用不同的 DNS 服务器的域:

    # journalctl -xeu NetworkManager
    ...
    Jun 02 13:30:17 <client_hostname>_ dnsmasq[5298]: using nameserver 198.51.100.7#53 for domain example.com
    ...
  2. 使用 tcpdump 数据包嗅探器来验证 DNS 请求的正确路由:

    1. 安装 tcpdump 软件包:

      # yum install tcpdump
    2. 在一个终端上,启动 tcpdump 以捕获所有接口上的 DNS 流量:

      # tcpdump -i any port 53
    3. 在另一个终端上,为存在异常的域解析主机名,为另一个域解析主机名,例如:

      # host -t A www.example.com
      # host -t A www.redhat.com
    4. tcpdump 输出中验证 Red Hat Enterprise Linux 是否只向指定的 DNS 服务器并通过相应的接口发送对 example.com 域的 DNS 查询:

      ...
      13:52:42.234533 IP server.43534 > 198.51.100.7.domain: 50121+ [1au] A? www.example.com. (33)
      ...
      13:52:57.753235 IP server.40864 > 192.0.2.1.domain: 6906+ A? www.redhat.com. (33)
      ...

      Red Hat Enterprise Linux 将对 www.example.com 的 DNS 查询发送到 198.51.100.7 上的 DNS 服务器,将对 www.redhat.com 的查询发送到 192.0.2.1

故障排除

  1. 验证 /etc/resolv.conf 文件中的 nameserver 条目是否指向 127.0.0.1

    # cat /etc/resolv.conf
    nameserver 127.0.0.1

    如果缺少条目,请检查 /etc/NetworkManager/NetworkManager.conf 文件中的 dns 参数。

  2. 验证 dnsmasq 服务是否侦听 loopback 设备上的端口 53

    # ss -tulpn | grep "127.0.0.1:53"
    udp  UNCONN 0  0    127.0.0.1:53   0.0.0.0:*    users:(("dnsmasq",pid=7340,fd=18))
    tcp  LISTEN 0  32   127.0.0.1:53   0.0.0.0:*    users:(("dnsmasq",pid=7340,fd=19))

    如果服务没有侦听 127.0.0.1:53,请检查 NetworkManager 单元的日志条目:

    # journalctl -u NetworkManager

22.2. 使用 NetworkManager 中的 systemd-resolved 将对特定域的 DNS 请求发送到所选的 DNS 服务器

您可以将 NetworkManager 配置为启动 systemd-resolved 的实例。然后,这个 DNS stub 解析器监听 IP 地址 127.0.0.53 上的端口 53。因此,这个 stub 解析器只能从本地系统访问,而不可从网络访问。

使用这个配置,NetworkManager 将 nameserver 127.0.0.53 条目添加到 /etc/resolv.conf 文件中,systemd-resolved 将 DNS 请求动态路由到 NetworkManager 连接配置文件中指定的相应的 DNS 服务器。

重要

systemd-resolved 服务仅作为技术预览提供。红帽产品服务级别协议(SLA)不支持技术预览功能,且其功能可能并不完善,因此红帽不建议在生产环境中使用它们。这些预览可让用户早期访问将来的产品功能,让用户在开发过程中测试并提供反馈意见。

如需有关 技术预览功能支持范围 的信息,请参阅红帽客户门户网站中的技术预览功能支持范围。

对于支持的解决方案,请参阅 在 NetworkManager 中使用 dnsmasq 将对特定域的 DNS 请求发送到所选的 DNS 服务器

先决条件

  • 系统配置了多个网络管理器连接。
  • 在负责解析特定域的 NetworkManager 连接配置文件中配置了 DNS 服务器和搜索域。

    例如,要确保 VPN 连接中指定的 DNS 服务器解析对 example.com 域的查询,VPN 连接配置文件必须包含以下设置:

    • 可以解析 example.com的 DNS 服务器
    • ipv4.dns-searchipv6.dns-search 参数中设置为 example.com 的搜索域

步骤

  1. 启用并启动 systemd-resolved 服务:

    # systemctl --now enable systemd-resolved
  2. 编辑 /etc/NetworkManager/NetworkManager.conf 文件,并在 [main] 部分中设置以下条目:

    dns=systemd-resolved
  3. 重新载入 NetworkManager 服务:

    # systemctl reload NetworkManager

验证

  1. 显示 systemd-resolved 使用的 DNS 服务器,以及服务对哪个域使用不同的 DNS 服务器:

    # resolvectl
    ...
    Link 2 (enp1s0)
        Current Scopes: DNS
             Protocols: +DefaultRoute ...
    Current DNS Server: 192.0.2.1
           DNS Servers: 192.0.2.1
    
    Link 3 (tun0)
        Current Scopes: DNS
             Protocols: -DefaultRoute ...
    Current DNS Server: 198.51.100.7
           DNS Servers: 198.51.100.7 203.0.113.19
            DNS Domain: example.com

    输出确认 systemd-resolvedexample.com 域使用不同的 DNS 服务器。

  2. 使用 tcpdump 数据包嗅探器来验证 DNS 请求的正确路由:

    1. 安装 tcpdump 软件包:

      # yum install tcpdump
    2. 在一个终端上,启动 tcpdump 以捕获所有接口上的 DNS 流量:

      # tcpdump -i any port 53
    3. 在另一个终端上,为存在异常的域解析主机名,为另一个域解析主机名,例如:

      # host -t A www.example.com
      # host -t A www.redhat.com
    4. tcpdump 输出中验证 Red Hat Enterprise Linux 是否只向指定的 DNS 服务器并通过相应的接口发送对 example.com 域的 DNS 查询:

      ...
      13:52:42.234533 IP server.43534 > 198.51.100.7.domain: 50121+ [1au] A? www.example.com. (33)
      ...
      13:52:57.753235 IP server.40864 > 192.0.2.1.domain: 6906+ A? www.redhat.com. (33)
      ...

      Red Hat Enterprise Linux 将对 www.example.com 的 DNS 查询发送到 198.51.100.7 上的 DNS 服务器,将对 www.redhat.com 的查询发送到 192.0.2.1

故障排除

  1. 验证 /etc/resolv.conf 文件中的 nameserver 条目是否指向 127.0.0.53

    # cat /etc/resolv.conf
    nameserver 127.0.0.53

    如果缺少条目,请检查 /etc/NetworkManager/NetworkManager.conf 文件中的 dns 参数。

  2. 验证 systemd-resolved 服务是否监听本地 IP 地址 127.0.0.53 上的端口 53

    # ss -tulpn | grep "127.0.0.53"
    udp  UNCONN 0  0      127.0.0.53%lo:53   0.0.0.0:*    users:(("systemd-resolve",pid=1050,fd=12))
    tcp  LISTEN 0  4096   127.0.0.53%lo:53   0.0.0.0:*    users:(("systemd-resolve",pid=1050,fd=13))

    如果服务没有侦听 127.0.0.53:53,请检查 systemd-resolved 服务是否在运行。

第 23 章 管理默认网关设置

默认网关是在没有其他路由与数据包的目的地匹配时转发网络数据包的路由器。在本地网络中,默认网关通常是与距离互联网有一跳的主机。

23.1. 使用 nmcli在现有连接上设置默认网关

在大多数情况下,管理员在创建连接时设置默认网关。但是,您也可以使用 nmcli 工具对之前创建的连接设置或更新默认网关设置。

先决条件

  • 至少需要在设置默认网关的连接上配置一个静态 IP 地址。
  • 如果用户在物理控制台中登录,用户权限就足够了。否则,用户必须具有 root 权限。

步骤

  1. 设置默认网关的 IP 地址:

    要设置 IPv4 默认网关,请输入:

    # nmcli connection modify <connection_name> ipv4.gateway "<IPv4_gateway_address>"

    要设置 IPv6 默认网关,请输入:

    # nmcli connection modify <connection_name> ipv6.gateway "<IPv6_gateway_address>"
  2. 重启网络连接以使更改生效:

    # nmcli connection up <connection_name>
    警告

    所有目前使用这个网络连接的连接在重启过程中暂时中断。

验证

  • 验证路由是否处于活跃状态:

    1. 要显示 IPv4 默认网关,请输入:

      # ip -4 route
      default via 192.0.2.1 dev example proto static metric 100
    2. 要显示 IPv6 默认网关,请输入:

      # ip -6 route
      default via 2001:db8:1::1 dev example proto static metric 100 pref medium

23.2. 使用 nmcli 交互模式在现有连接上设置默认网关

在大多数情况下,管理员在创建连接时设置默认网关。但是,您也可以使用 nmcli 工具的交互模式对之前创建的连接设置或更新默认网关设置。

先决条件

  • 至少需要在设置默认网关的连接上配置一个静态 IP 地址。
  • 如果用户在物理控制台中登录,用户权限就足够了。否则,该用户必须具有 root 权限。

步骤

  1. 为所需连接打开 nmcli 交互模式:

    # nmcli connection edit <connection_name>
  2. 设置默认网关

    要设置 IPv4 默认网关,请输入:

    nmcli> set ipv4.gateway "<IPv4_gateway_address>"

    要设置 IPv6 默认网关,请输入:

    nmcli> set ipv6.gateway "<IPv6_gateway_address>"
  3. 另外,还可验证默认网关是否正确设置:

    nmcli> print
    ...
    ipv4.gateway:            <IPv4_gateway_address>
    ...
    ipv6.gateway:            <IPv6_gateway_address>
    ...
  4. 保存配置:

    nmcli> save persistent
  5. 重启网络连接以使更改生效:

    nmcli> activate <connection_name>
    警告

    所有目前使用这个网络连接的连接在重启过程中暂时中断。

  6. 保留 nmcli 交互模式:

    nmcli> quit

验证

  • 验证路由是否处于活跃状态:

    1. 要显示 IPv4 默认网关,请输入:

      # ip -4 route
      default via 192.0.2.1 dev example proto static metric 100
    2. 要显示 IPv6 默认网关,请输入:

      # ip -6 route
      default via 2001:db8:1::1 dev example proto static metric 100 pref medium

23.3. 使用 nm-connection-editor 在现有连接上设置默认网关

在大多数情况下,管理员在创建连接时设置默认网关。但是,您也可以使用 nm-connection-editor 应用程序在之前创建的连接上设置或更新默认网关设置。

先决条件

  • 至少需要在设置默认网关的连接上配置一个静态 IP 地址。

步骤

  1. 打开一个终端,输入 nm-connection-editor

    # nm-connection-editor
  2. 选择要修改的连接,并点击 gear wheel 图标编辑现有连接。
  3. 设置 IPv4 默认网关。例如,要将连接上的默认网关的 IPv4 地址设为 192.0.2.1

    1. 打开 IPv4 Settings 选项卡。
    2. 在网关地址所在的 IP 范围旁边的 gateway 字段中输入地址:

      set default gw in nm connection editor ipv4

  4. 设置 IPv6 默认网关。例如,要将连接上默认网关的 IPv6 地址设为 2001:db8:1::1

    1. 打开 IPv6 选项卡。
    2. 在网关地址所在的 IP 范围旁边的 gateway 字段中输入地址:

      set default gw in nm connection editor ipv6

  5. 点击 确定
  6. 点击 Save
  7. 重启网络连接以使更改生效。例如,要使用命令行重启 example 连接:

    # nmcli connection up example
    警告

    所有目前使用这个网络连接的连接在重启过程中暂时中断。

  8. (可选)验证路由是否活跃。

    显示 IPv4 默认网关:

    # ip -4 route
    default via 192.0.2.1 dev example proto static metric 100

    显示 IPv6 默认网关:

    # ip -6 route
    default via 2001:db8:1::1 dev example proto static metric 100 pref medium

23.4. 使用 control-center 在现有连接上设置默认网关

在大多数情况下,管理员在创建连接时设置默认网关。但是,您也可以使用 control-center 应用程序在之前创建的连接上设置或更新默认网关设置。

先决条件

  • 至少需要在设置默认网关的连接上配置一个静态 IP 地址。
  • 连接的网络配置在 control-center 应用程序中打开。

步骤

  1. 设置 IPv4 默认网关。例如,要将连接上的默认网关的 IPv4 地址设为 192.0.2.1

    1. 打开 IPv4 选项卡。
    2. 在网关地址所在的 IP 范围旁边的 gateway 字段中输入地址:

      set default gw in control center ipv4

  2. 设置 IPv6 默认网关。例如,要将连接上默认网关的 IPv6 地址设为 2001:db8:1::1

    1. 打开 IPv6 选项卡。
    2. 在网关地址所在的 IP 范围旁边的 gateway 字段中输入地址:

      set default gw in control center ipv6

  3. 应用
  4. 返回到 Network 窗口,通过将连接的按钮切换为 Off ,然后返回到 On 来禁用并重新启用连接,以使更改生效。

    警告

    所有目前使用这个网络连接的连接在重启过程中暂时中断。

  5. (可选)验证路由是否活跃。

    显示 IPv4 默认网关:

    $ ip -4 route
    default via 192.0.2.1 dev example proto static metric 100

    显示 IPv6 默认网关:

    $ ip -6 route
    default via 2001:db8:1::1 dev example proto static metric 100 pref medium

23.5. 使用 nmstatectl在现有连接上设置默认网关

在大多数情况下,管理员在创建连接时设置默认网关。但是,您也可以使用 nmstatectl 工具对之前创建的连接设置或更新默认网关设置。

使用 nmstatectl 工具通过 Nmstate API 设置默认网关。Nmstate API 确保设置配置后结果与配置文件匹配。如果有任何失败,nmstatectl 会自动回滚更改以避免系统处于不正确的状态。

先决条件

  • 至少需要在设置默认网关的连接上配置一个静态 IP 地址。
  • enp1s0 接口已配置,默认网关的 IP 地址在此接口的 IP 配置子网内。
  • nmstate 软件包已安装。

步骤

  1. 创建一个包含以下内容的 YAML 文件,如 ~/set-default-gateway.yml

    ---
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.1
        next-hop-interface: enp1s0

    这些设置将 192.0.2.1 定义为默认网关,可通过 enp1s0 接口访问默认网关。

  2. 将设置应用到系统:

    # nmstatectl apply ~/set-default-gateway.yml

其他资源

  • nmstatectl(8) 手册页
  • /usr/share/doc/nmstate/examples/ 目录

23.6. 使用 network RHEL 系统角色在现有连接上设置默认网关

在大多数情况下,管理员在创建连接时设置默认网关。但是,您也可以使用 network RHEL 系统角色在之前创建的连接上设置或更新默认网关设置,以设置默认网关。

重要

当您运行一个使用 network RHEL 系统角色的 play 时,如果设置值与 play 中指定的值不匹配,则角色会使用相同的名称覆盖现有的连接配置文件。要防止将这些值重置为其默认值,请始终在 play 中指定网络连接配置文件的整个配置,即使配置(如 IP 配置)已存在。

根据它是否已存在,流程使用以下设置创建或更新 enp1s0 连接配置文件:

  • 静态 IPv4 地址 - 198.51.100.20,子网掩码为/24
  • 静态 IPv6 地址 - 2001:db8:1::1/64 子网掩码
  • IPv4 默认网关 - 198.51.100.254
  • IPv6 默认网关 - 2001:db8:1::fffe
  • IPv4 DNS 服务器 - 198.51.100.200
  • IPv6 DNS 服务器 - 2001:db8:1::ffbb
  • DNS 搜索域 - example.com

前提条件

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with static IP and default gateway
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: enp1s0
                type: ethernet
                autoconnect: yes
                ip:
                  address:
                    - 198.51.100.20/24
                    - 2001:db8:1::1/64
                  gateway4: 198.51.100.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 198.51.100.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                state: up
  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

23.7. 使用旧的网络脚本在现有连接中设置默认网关

在大多数情况下,管理员在创建连接时设置默认网关。但是,在使用旧的网络脚本时,您还可以在之前创建的连接上设置或更新默认网关设置。

前提条件

  • NetworkManager 软件包未安装,或者 NetworkManager 服务被禁用。
  • network-scripts 软件包已安装。

流程

  1. /etc/sysconfig/network-scripts/ifcfg-enp1s0 文件中的 GATEWAY 参数设为 192.0.2.1

    GATEWAY=192.0.2.1
  2. /etc/sysconfig/network-scripts/route-enp0s1 文件中添加 default 条目:

    default via 192.0.2.1
  3. 重启网络:

    # systemctl restart network

23.8. NetworkManager 如何管理多个默认网关

在某些情况下,您可能需要在主机上设置多个默认网关。但是,为了避免异步路由问题,同一协议的每个默认网关都需要单独的指标值。请注意,RHEL 只使用到设置成最低指标的默认网关的连接。

您可以使用以下命令为连接的 IPv4 和 IPv6 网关设置指标:

# nmcli connection modify <connection_name> ipv4.route-metric <value> ipv6.route-metric <value>
重要

不要为多个连接配置集中的同一协议设置相同的指标值以避免路由问题。

如果您设置了没有指标值的默认网关,则 NetworkManager 会自动根据接口类型设置指标值。为此,NetworkManager 将这个网络类型的默认值分配给激活的第一个连接,并根据激活的顺序为同一类型的每一个其他连接设置递增值。例如,如果带有默认网关的两个以太网连接存在,则 NetworkManager 会将路由上的 100 指标设置为您首先激活的连接的默认网关。对于第二个连接,NetworkManager 会设为 101

以下是经常使用的网络类型及其默认指标的概述:

连接类型默认指标值

VPN

50

Ethernet

100

MACsec

125

InfiniBand

150

Bond

300

Team

350

VLAN

400

Bridge

425

TUN

450

Wi-Fi

600

IP tunnel

675

23.9. 配置 NetworkManager 以避免使用特定配置集提供默认网关

您可以配置 NetworkManager 从不使用特定的配置文件来提供默认网关。对于没有连接到默认网关的连接配置集,请按照以下步骤操作。

先决条件

  • 没有连接到默认网关的连接的 NetworkManager 连接配置文件存在。

流程

  1. 如果连接使用动态 IP 配置,请配置 NetworkManager 不使用该连接作为 IPv4 和 IPv6 连接的默认路由:

    # nmcli connection modify <connection_name> ipv4.never-default yes ipv6.never-default yes

    请注意,将 ipv4.never-defaultipv6.never-default 设为 yes,会自动从连接配置文件中删除相应协议默认网关的 IP 地址。

  2. 激活连接:

    # nmcli connection up <connection_name>

验证

  • 使用 ip -4 路由和 ip -6 route 命令,来验证 RHEL 是否未对 IPv4 和 IPv6 协议的默认路使用网络接口。

23.10. 修复因为多个默认网关导致的意外路由行为

只有一些情况,比如使用多路径 TCP 时,您需要在主机上有多个默认网关。在大多数情况下,您只配置一个默认网关,来避免意外的路由行为或异步路由问题。

注意

要将流量路由到不同的互联网提供商,请使用基于策略的路由,而不是多个默认网关。

先决条件

  • 主机使用 NetworkManager 管理网络连接,这是默认设置。
  • 主机有多个网络接口。
  • 主机配置了多个默认网关。

流程

  1. 显示路由表:

    • 对于 IPv4,请输入:

      # ip -4 route
      default via 192.0.2.1 dev enp1s0 proto static metric 101
      default via 198.51.100.1 dev enp7s0 proto static metric 102
      ...
    • 对于 IPv6,请输入:

      # ip -6 route
      default via 2001:db8:1::1 dev enp1s0 proto static metric 101 pref medium
      default via 2001:db8:2::1 dev enp7s0 proto static metric 102 pref medium
      ...

    default 开头的条目表示默认路由。注意 dev 旁边显示的这些条目的接口名称。

  2. 使用以下命令显示您使用在上一步中识别的接口的 NetworkManager 连接:

    # nmcli -f GENERAL.CONNECTION,IP4.GATEWAY,IP6.GATEWAY device show enp1s0
    GENERAL.CONNECTION:      Corporate-LAN
    IP4.GATEWAY:             192.0.2.1
    IP6.GATEWAY:             2001:db8:1::1
    
    # nmcli -f GENERAL.CONNECTION,IP4.GATEWAY,IP6.GATEWAY device show enp7s0
    GENERAL.CONNECTION:      Internet-Provider
    IP4.GATEWAY:             198.51.100.1
    IP6.GATEWAY:             2001:db8:2::1

    在这些示例中,名为 Corporate-LANInternet-Provider 的配置文件设置了默认网关。因为在本地网络中,默认网关通常是距离互联网一跳的主机,所以此流程的剩下部分假设 Corporate-LAN 中的默认网关是不正确的。

  3. 配置 NetworkManager 不使用 Corporate-LAN 连接作为 IPv4 和 IPv6 连接的默认路由:

    # nmcli connection modify Corporate-LAN ipv4.never-default yes ipv6.never-default yes

    请注意,将 ipv4.never-defaultipv6.never-default 设为 yes,会自动从连接配置文件中删除相应协议默认网关的 IP 地址。

  4. 激活 Corporate-LAN 连接:

    # nmcli connection up Corporate-LAN

验证

  • 显示 IPv4 和 IPv6 路由表,并确认每个协议都只有一个默认网关:

    • 对于 IPv4,请输入:

      # ip -4 route
      default via 192.0.2.1 dev enp1s0 proto static metric 101
      ...
    • 对于 IPv6,请输入:

      # ip -6 route
      default via 2001:db8:1::1 dev enp1s0 proto static metric 101 pref medium
      ...

第 24 章 配置静态路由

路由可确保您可以在相互连接的网络间发送和接收流量。在较大环境中,管理员通常配置服务以便路由器可以动态地了解其他路由器。在较小的环境中,管理员通常会配置静态路由,以确保流量可以从一个网络到下一个网络访问。

如果适用所有这些条件,您需要静态路由以在多个网络间获得正常运行的通信:

  • 流量必须通过多个网络。
  • 通过默认网关的独占流量流不足。

需要静态路由的网络示例 描述了场景,以及在不配置静态路由时不同网络间的流量流。

24.1. 需要静态路由的网络示例

您需要在这个示例中的静态路由,因为并非所有 IP 网络都通过一个路由器直接连接。如果没有静态路由,一些网络无法相互通信。此外,某些网络流的流量仅有一个方向。

注意

本例中的网络拓扑是假设的,仅用于解释静态路由的概念。在生产环境中并不推荐使用这个拓扑。

对于本示例中所有网络中的一个正常运行的通信,请将静态路由配置为 Raleigh (198.51.100.0/24),下一个越点(hop)路由器 2 (203.0.113.10)。下一个跃点的 IP 地址是数据中心网络中的一个路由器 2 (203.0.113.0/24)。

您可以配置静态路由,如下所示:

  • 对于简化的配置,仅在路由器 1 上设置此静态路由。但是,这会增加路由器 1 上的流量,因为来自数据中心(203.0.113.0/24)的主机将流量发送到 Raleigh (198.51.100.0/24),始终通过路由器 1 到路由器 2。
  • 对于更复杂的配置,请在数据中心的所有主机上配置此静态路由 (203.0.113.0/24)。然后,此子网中的所有主机直接向路由器 2 (203.0.113.10)发送更接近 Raleigh 的主机 (198.51.100.0/24)。

有关网络流量流或不符的更多详情,请参见以下示意图中的说明。

路由示例

如果没有配置所需的静态路由,则 如下是通信正常工作的情况,以及不进行时:

  • Berlin 网络中的主机 (192.0.2.0/24):

    • 可以与同一子网中的其他主机通信,因为它们是直接连接的。
    • 可以与互联网进行通信,因为路由器 1 位于 Berlin 网络(192.0.2.0/24)中,并且有默认网关,其可以访问互联网。
    • 可以与数据中心网络 (203.0.113.0/24)通信 ,因为路由器 1 在 Berlin (192.0.2.0/24) 和数据中心(203.0.113.0/24) 网络中都有接口。
    • 无法与 Raleigh 网络 (198.51.100.0/24) 通信,因为路由器 1 在此网络中没有接口。因此,路由器 1 将流量发送到自己的默认网关(互联网)。
  • 数据中心网络中的主机 (203.0.113.0/24):

    • 可以与同一子网中的其他主机通信,因为它们是直接连接的。
    • 可以与互联网进行通信,因为它们有设置到路由器 1 的默认网关,路由器 1 在两个网络,数据中心(203.0.113.0/24)和互联网中都有接口。
    • 可以与 Berlin 网络 (192.0.2.0/24) 通信,因为它们的默认网关设置为路由器 1,并且路由器 1 在数据中心 (203.0.113.0/24) 和 Berlin (192.0.2.0/24) 网络中都存在接口。
    • 无法与 Raleigh 网络 (198.51.100.0/24) 通信,因为该网络中没有接口。因此,数据中心中的主机 (203.0.113.0/24) 将流量发送到其默认网关 (路由器 1)。路由器 1 在 Raleigh 网络(198.51.100.0/24)中没有接口,因此路由器 1 将此流量发送到自己的默认网关(互联网)。
  • Raleigh 网络中的主机 (198.51.100.0/24):

    • 可以与同一子网中的其他主机通信,因为它们是直接连接的。
    • 无法与互联网上的主机进行通信。因为默认的网关设置,路由器 2 将流量发送到路由器 1。路由器 1 的实际行为取决于反向路径过滤器 (rp_filter) 系统控制 (sysctl) 设置。默认情况下,在 RHEL 上,路由器 1 会丢弃传出流量,而不是将其路由到互联网。但是,无论配置的行为如何,都无法在没有静态路由的情况下进行通信。
    • 无法与数据中心网络通信(203.0.113.0/24)。由于默认网关设置,传出流量通过路由器 2 到达目的地。但是,对数据包的回复不会到达发送者,因为数据中心网络中的主机(203.0.113.0/24)将回复发送到其默认网关(Router 1)。然后,路由器 1 将流量发送到互联网。
    • 无法与 Berlin 网络通信(192.0.2.0/24)。因为默认的网关设置,路由器 2 将流量发送到路由器 1。路由器 1 的实际行为取决于 rp_filter sysctl 设置。默认情况下,在 RHEL 中,路由器 1 会丢弃传出流量,而不是将其发送到 Berlin 网络(192.0.2.0/24)。但是,无论配置的行为如何,都无法在没有静态路由的情况下进行通信。
注意

除了配置静态路由外,还必须在两个路由器上启用 IP 转发。

24.2. 如何使用 nmcli 工具配置静态路由

要配置静态路由,请使用具有以下语法的 nmcli 工具:

$ nmcli connection modify connection_name ipv4.routes "ip[/prefix] [next_hop] [metric] [attribute=value] [attribute=value] ..."

该命令支持以下路由属性:

  • cwnd=n :设置拥塞窗口(CWND)大小,以数据包数量定义。
  • lock-cwnd=true|false :定义内核是否可以更新 CWND 值。
  • lock-mtu=true|false :定义内核是否可以将 MTU 更新为路径 MTU 发现。
  • lock-window=true|false :定义内核是否可更新 TCP 数据包的最大窗口大小。
  • mtu= <mtu_value > :设置要用于目的地路径的最大传输单元(MTU)。
  • onlink=true|false :定义下一个跃点是否直接附加到此链接,即使它与任何接口前缀都不匹配。
  • scope=<scope > : 对于 IPv4 路由,此属性设置路由前缀涵盖的目的地的范围。将值设为整数(0-255)。
  • src= <source_address > :当将流量发送到路由前缀所涵盖的目的地时,将源地址设置为首选。
  • table=<table_id > :设置应添加路由的表的 ID。如果省略此参数,NetworkManager 将使用 main 表。
  • ToS= &lt;type_of_service_key > :设置服务类型(TOS)密钥。将值设为整数(0-255)。
  • type=<route_type > :设置路由类型。NetworkManager 支持 unicastlocalblackholeunreachableprohibitthrow 路由类型。默认为 unicast
  • window=<window_size > :设置要公告到这些目的地的 TCP 的最大窗口大小,以字节为单位。
重要

如果您使用没有前面的 + 符号的 ipv4.routes 选项,nmcli 会覆盖这个参数的所有当前设置。

  • 要创建额外路由,请输入:

    $ nmcli connection modify connection_name +ipv4.routes "<route>"
  • 要删除特定的路由,请输入:

    $ nmcli connection modify connection_name -ipv4.routes "<route>"

24.3. 使用 nmcli配置静态路由

您可以使用 nmcli connection modify 命令将静态路由添加到现有 NetworkManager 连接配置集。

以下流程配置以下路由:

  • 到远程 198.51.100.0/24 网络的 IPv4 路由。IP 地址为 192.0.2.10 的对应网关可以通过 LAN 连接配置集访问。
  • 到远程 2001:db8:2::/64 网络的 IPv6 路由。IP 地址为 2001:db8:1::10 的对应网关可以通过 LAN 连接配置集访问。

前提条件

  • LAN 连接配置文件存在,并将此主机配置为与网关位于同一个 IP 子网。

流程

  1. 将静态 IPv4 路由添加到 LAN 连接配置集:

    # nmcli connection modify LAN +ipv4.routes "198.51.100.0/24 192.0.2.10"

    要在一个步骤中设置多个路由,请将单个路由用逗号分开:

    # nmcli connection modify <connection_profile> +ipv4.routes "<remote_network_1>/<subnet_mask_1> <gateway_1>, <remote_network_n>/<subnet_mask_n> <gateway_n>, ..."
  2. 将静态 IPv6 路由添加到 LAN 连接配置集:

    # nmcli connection modify LAN +ipv6.routes "2001:db8:2::/64 2001:db8:1::10"
  3. 重新激活连接:

    # nmcli connection up LAN

验证

  1. 显示 IPv4 路由:

    # ip -4 route
    ...
    198.51.100.0/24 via 192.0.2.10 dev enp1s0
  2. 显示 IPv6 路由:

    # ip -6 route
    ...
    2001:db8:2::/64 via 2001:db8:1::10 dev enp1s0 metric 1024 pref medium

24.4. 使用 nmtui配置静态路由

nmtui 应用程序为 NetworkManager 提供了一个基于文本的用户界面。您可以使用 nmtui 在没有图形界面的主机上配置静态路由。

例如,以下流程将路由添加到 192.0.2.0/24 网络,该网络使用运行在 198.51.100.1 上的网关,可通过现有的连接配置文件到达该网络。

注意

nmtui 中:

  • 使用光标键导航。
  • 选择一个按钮并按 Enter 键。
  • 使用空格选择和 清除复选框

前提条件

  • 网络已配置。
  • 静态路由的网关必须在接口上直接访问。
  • 如果用户在物理控制台中登录,用户权限就足够了。否则,命令需要 root 权限。

步骤

  1. 启动 nmtui

    # nmtui
  2. 选择 Edit a connection,然后按 Enter
  3. 选择您可通过其到达目的地网络的下一跳的连接配置文件,然后按 Enter
  4. 根据它是 IPv4 还是 IPv6 路由,请按协议配置区域旁边的 Show 按钮。
  5. 路由 旁边的编辑按钮。这将打开一个新窗口,您可在其中配置静态路由:

    1. Add 按钮并填写:

      • 目的网络,包括无类别域间路由(CIDR)格式的前缀
      • 下一跳的 IP 地址
      • 指标值,如果您向同一网络添加多个路由,并且希望根据效率对路由进行优先排序
    2. 对您要添加的每个路由重复上一步,且通过此连接配置文件可达。
    3. OK 按钮返回到连接设置的窗口。

      图 24.1. 没有指标的静态路由的示例

      nmtui 添加静态路由
  6. 按 OK 按钮返回到 nmtui 主菜单。
  7. 选择 Activate a connection,然后按 Enter
  8. 选择您编辑的连接配置文件,然后按 Enter 两次来停用并再次激活它。

    重要

    如果您通过使用您要重新激活的连接配置文件的远程连接(如 SSH)来运行 nmtui ,请跳过这一步。在这种情况下,如果您在 nmtui 中停用了它,连接将被终止,因此您无法再次激活它。要避免这个问题,请使用 nmcli connection & lt;connection_profile > up 命令在上述场景中重新激活连接。

  9. Back 按钮返回到主菜单。
  10. 选择 Quit,然后按 Enter 键关闭 nmtui 应用程序。

验证

  • 验证路由是否处于活跃状态:

    $ ip route
    ...
    192.0.2.0/24 via 198.51.100.1 dev example proto static metric 100

24.5. 使用 control-center 配置静态路由

您可以在 GNOME 中使用 control-center,来将静态路由添加到网络连接配置中。

以下流程配置以下路由:

  • 到远程 198.51.100.0/24 网络的 IPv4 路由。对应的网关的 IP 地址 192.0.2.10
  • 到远程 2001:db8:2::/64 网络的 IPv6 路由。对应的网关具有 IP 地址 2001:db8:1::10

前提条件

流程

  1. IPv4 标签页中:

    1. 可选:点 IPv4 选项卡的 Routes 部分中的 On 按钮来禁用自动路由,使其只使用静态路由。如果启用了自动路由,Red Hat Enterprise Linux 将使用静态路由和从 DHCP 服务器接收的路由。
    2. 输入 IPv4 路由的地址、子网掩码、网关和可选的指标值:

      IPv4 static route in control center

  2. IPv6 标签页中:

    1. 可选:点 IPv4 选项卡的 Routes 部分中的 On 按钮来禁用自动路由,使其只使用静态路由。
    2. 输入 IPv6 路由的地址、子网掩码、网关和可选的指标值:

      IPv6 static route in control center

  3. 应用
  4. 返回到 Network 窗口,通过将连接的按钮切换为 Off ,然后返回到 On 来禁用并重新启用连接,以使更改生效。

    警告

    重启连接会破坏那个接口的连接。

验证

  1. 显示 IPv4 路由:

    # ip -4 route
    ...
    198.51.100.0/24 via 192.0.2.10 dev enp1s0
  2. 显示 IPv6 路由:

    # ip -6 route
    ...
    2001:db8:2::/64 via 2001:db8:1::10 dev enp1s0 metric 1024 pref medium

24.6. 使用 nm-connection-editor 配置静态路由

您可以使用 nm-connection-editor 应用程序将静态路由添加到网络连接配置中。

以下流程配置以下路由:

  • 到远程 198.51.100.0/24 网络的 IPv4 路由。IP 地址为 192.0.2.10 的对应网关可以通过 example 连接访问。
  • 到远程 2001:db8:2::/64 网络的 IPv6 路由。IP 地址为 2001:db8:1::10 的对应网关可以通过 example 连接访问。

前提条件

  • 网络已配置。
  • 此主机与网关位于同一个 IP 子网中。

流程

  1. 打开一个终端,输入 nm-connection-editor

    $ nm-connection-editor
  2. 选择 example 连接配置集,并点齿轮图标编辑现有连接。
  3. IPv4 设置 标签页中:

    1. 点击 路由 按钮。
    2. 点击 添加 按钮并输入地址、子网掩码、网关以及可选的指标值。

      IPv4 static route in nm connection editor

    3. 点击 确定
  4. IPv6 设置 标签页中:

    1. 点击 路由 按钮。
    2. 点击 添加 按钮并输入地址、子网掩码、网关以及可选的指标值。

      IPv6 static route in nm connection editor

    3. 点击 确定
  5. 点击 Save
  6. 重启网络连接以使更改生效。例如,要使用命令行重启 example 连接:

    # nmcli connection up example

验证

  1. 显示 IPv4 路由:

    # ip -4 route
    ...
    198.51.100.0/24 via 192.0.2.10 dev enp1s0
  2. 显示 IPv6 路由:

    # ip -6 route
    ...
    2001:db8:2::/64 via 2001:db8:1::10 dev enp1s0 metric 1024 pref medium

24.7. 使用 nmcli 交互模式配置静态路由

您可以使用 nmcli 工具的交互模式,将静态路由添加到网络连接配置中。

以下流程配置以下路由:

  • 到远程 198.51.100.0/24 网络的 IPv4 路由。IP 地址为 192.0.2.10 的对应网关可以通过 example 连接访问。
  • 到远程 2001:db8:2::/64 网络的 IPv6 路由。IP 地址为 2001:db8:1::10 的对应网关可以通过 example 连接访问。

前提条件

  • example 连接配置集存在,它将此主机配置为与网关在同一 IP 子网中。

流程

  1. example 连接打开 nmcli 交互模式:

    # nmcli connection edit example
  2. 添加静态 IPv4 路由:

    nmcli> set ipv4.routes 198.51.100.0/24 192.0.2.10
  3. 添加静态 IPv6 路由:

    nmcli> set ipv6.routes 2001:db8:2::/64 2001:db8:1::10
  4. (可选)验证路由是否已正确添加到配置中:

    nmcli> print
    ...
    ipv4.routes:    { ip = 198.51.100.0/24, nh = 192.0.2.10 }
    ...
    ipv6.routes:    { ip = 2001:db8:2::/64, nh = 2001:db8:1::10 }
    ...

    ip 属性显示要路由的网络,nh 属性显示网关(下一跳)。

  5. 保存配置:

    nmcli> save persistent
  6. 重启网络连接:

    nmcli> activate example
  7. 保留 nmcli 交互模式:

    nmcli> quit

验证

  1. 显示 IPv4 路由:

    # ip -4 route
    ...
    198.51.100.0/24 via 192.0.2.10 dev enp1s0
  2. 显示 IPv6 路由:

    # ip -6 route
    ...
    2001:db8:2::/64 via 2001:db8:1::10 dev enp1s0 metric 1024 pref medium

其他资源

  • nmcli(1) 手册页
  • nm-settings-nmcli(5) man page

24.8. 使用 nmstatectl配置静态路由

使用 nmstatectl 工具,通过 Nmstate API 配置静态路由。Nmstate API 确保设置配置后结果与配置文件匹配。如果有任何失败,nmstatectl 会自动回滚更改以避免系统处于不正确的状态。

前提条件

  • enp1s0 网络接口已配置,且与网关位于同一个 IP 子网。
  • nmstate 软件包已安装。

步骤

  1. 创建一个包含以下内容的 YAML 文件,如 ~/add-static-route-to-enp1s0.yml

    ---
    routes:
      config:
      - destination: 198.51.100.0/24
        next-hop-address: 192.0.2.10
        next-hop-interface: enp1s0
      - destination: 2001:db8:2::/64
        next-hop-address: 2001:db8:1::10
        next-hop-interface: enp1s0

    这些设置定义以下静态路由:

    • 到远程 198.51.100.0/24 网络的 IPv4 路由。IP 地址为 192.0.2.10 的对应网关可以通过 enp1s0 接口访问。
    • 到远程 2001:db8:2::/64 网络的 IPv6 路由。IP 地址为 2001:db8:1::10 的对应网关可以通过 enp1s0 接口访问。
  2. 将设置应用到系统:

    # nmstatectl apply ~/add-static-route-to-enp1s0.yml

验证

  1. 显示 IPv4 路由:

    # ip -4 route
    ...
    198.51.100.0/24 via 192.0.2.10 dev enp1s0
  2. 显示 IPv6 路由:

    # ip -6 route
    ...
    2001:db8:2::/64 via 2001:db8:1::10 dev enp1s0 metric 1024 pref medium

其他资源

  • nmstatectl(8) 手册页
  • /usr/share/doc/nmstate/examples/ 目录

24.9. 使用 network RHEL 系统角色配置静态路由

您可以使用 network RHEL 系统角色配置静态路由。

重要

当您运行一个使用 network RHEL 系统角色的 play 时,如果设置值与 play 中指定的值不匹配,则角色会使用相同的名称覆盖现有的连接配置文件。要防止将这些值重置为其默认值,请始终在 play 中指定网络连接配置文件的整个配置,即使配置(如 IP 配置)已存在。

前提条件

步骤

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with static IP and additional routes
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: enp7s0
                type: ethernet
                autoconnect: yes
                ip:
                  address:
                    - 192.0.2.1/24
                    - 2001:db8:1::1/64
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                  route:
                    - network: 198.51.100.0
                      prefix: 24
                      gateway: 192.0.2.10
                    - network: 2001:db8:2::
                      prefix: 64
                      gateway: 2001:db8:1::10
                state: up

    根据它是否已存在,流程使用以下设置创建或更新 enp7s0 连接配置文件:

    • 静态 IPv4 地址 - 192.0.2.1/24 子网掩码
    • 静态 IPv6 地址 - 2001:db8:1::1/64 子网掩码
    • IPv4 默认网关 - 192.0.2.254
    • IPv6 默认网关 - 2001:db8:1::fffe
    • IPv4 DNS 服务器 - 192.0.2.200
    • IPv6 DNS 服务器 - 2001:db8:1::ffbb
    • DNS 搜索域 - example.com
    • 静态路由:

      • 198.51.100.0/24,网关为 192.0.2.10
      • 2001:db8:2::/64,网关为 2001:db8:1::10
  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

验证

  1. 在受管节点上:

    1. 显示 IPv4 路由:

      # ip -4 route
      ...
      198.51.100.0/24 via 192.0.2.10 dev enp7s0
    2. 显示 IPv6 路由:

      # ip -6 route
      ...
      2001:db8:2::/64 via 2001:db8:1::10 dev enp7s0 metric 1024 pref medium

其他资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

24.10. 使用旧的网络脚本以键-值格式创建静态路由配置文件

旧的网络脚本支持以 key-value 格式设置静态路由。

以下步骤配置 IPv4 路由到远程 198.51.100.0/24 网络。IP 地址为 192.0.2.10 的对应网关可以通过 enp1s0 接口访问。

注意

旧的网络脚本只支持静态 IPv4 路由的键值格式。对于 IPv6 路由,请使用 ip 命令格式。请参阅在使用旧的网络脚本时,通过 ip-command-format 来创建静态路由配置文件

前提条件

  • 静态路由的网关必须在接口上直接访问。
  • NetworkManager 软件包未安装,或者 NetworkManager 服务被禁用。
  • network-scripts 软件包已安装。
  • network 服务已启用。

流程

  1. 将静态 IPv4 路由添加到 /etc/sysconfig/network-scripts/route-enp0s1 文件中:

    ADDRESS0=198.51.100.0
    NETMASK0=255.255.255.0
    GATEWAY0=192.0.2.10
    • ADDRESS0 变量定义第一个路由条目的网络。
    • NETMASK0 变量定义第一个路由条目的子网掩码。
    • GATEWAY0 变量定义到远程网络的网关的 IP 地址或第一个路由条目的主机。

      如果您添加多个静态路由,请增加变量名称的数量。请注意,每个路由的变量都必须按顺序编号。例如,ADDRESS0ADDRESS1ADDRESS3 ,等等。

  2. 重启网络:

    # systemctl restart network

验证

  • 显示 IPv4 路由:

    # ip -4 route
    ...
    198.51.100.0/24 via 192.0.2.10 dev enp1s0

故障排除

  • 显示 network 单元的日志条目 :

    # journalctl -u network

    以下是可能的错误信息及其原因:

    • Error: Nexthop has invalid gateway: 在 route-enp1s0 文件中指定一个没有与此路由器相同的子网中的 IPv4 网关地址。
    • RTNETLINK answers: No route to host: 在 route6-enp1s0 文件中指定一个没有与此路由器相同的子网中的 IPv6 网关地址。
    • Error: Invalid prefix for given prefix length :您可以使用远程网络中的 IP 地址(而非网络地址)在 route-enp1s0 文件中指定远程网络。

其他资源

  • /usr/share/doc/network-scripts/sysconfig.txt file

24.11. 在使用旧的网络脚本时,使用 ip-command-format 创建静态路由配置文件

旧的网络脚本支持设置静态路由。

以下流程配置以下路由:

  • 到远程 198.51.100.0/24 网络的 IPv4 路由。IP 地址为 192.0.2.10 的对应网关可以通过 enp1s0 接口访问。
  • 到远程 2001:db8:2::/64 网络的 IPv6 路由。IP 地址为 2001:db8:1::10 的对应网关可以通过 enp1s0 接口访问。
重要

网关(下一跳)的 IP 地址必须与您在其上配置静态路由的主机位于同一个 IP 子网中。

此流程中的示例使用 ip-command 格式的配置条目。

前提条件

  • 静态路由的网关必须在接口上直接访问。
  • NetworkManager 软件包未安装,或者 NetworkManager 服务被禁用。
  • network-scripts 软件包已安装。
  • network 服务已启用。

流程

  1. 将静态 IPv4 路由添加到 /etc/sysconfig/network-scripts/route-enp1s0 文件中:

    198.51.100.0/24 via 192.0.2.10 dev enp1s0

    始终指定远程网络的网络地址,如 198.51.100.0。在远程网络中设置 IP 地址,如 198.51.100.1 会导致网络脚本添加此路由。

  2. 将静态 IPv6 路由添加到 /etc/sysconfig/network-scripts/route6-enp1s0 文件中:

    2001:db8:2::/64 via 2001:db8:1::10 dev enp1s0
  3. 重启 network 服务 :

    # systemctl restart network

验证

  1. 显示 IPv4 路由:

    # ip -4 route
    ...
    198.51.100.0/24 via 192.0.2.10 dev enp1s0
  2. 显示 IPv6 路由:

    # ip -6 route
    ...
    2001:db8:2::/64 via 2001:db8:1::10 dev enp1s0 metric 1024 pref medium

故障排除

  • 显示 network 单元的日志条目 :

    # journalctl -u network

    以下是可能的错误信息及其原因:

    • Error: Nexthop has invalid gateway: 在 route-enp1s0 文件中指定一个没有与此路由器相同的子网中的 IPv4 网关地址。
    • RTNETLINK answers: No route to host: 在 route6-enp1s0 文件中指定一个没有与此路由器相同的子网中的 IPv6 网关地址。
    • Error: Invalid prefix for given prefix length :您可以使用远程网络中的 IP 地址(而非网络地址)在 route-enp1s0 文件中指定远程网络。

其它资源

  • /usr/share/doc/network-scripts/sysconfig.txt file

第 25 章 配置基于策略的路由以定义其他路由

默认情况下,RHEL 中的内核决定使用路由表根据目标地址转发网络数据包。基于策略的路由允许您配置复杂的路由场景。例如,您可以根据各种条件来路由数据包,如源地址、数据包元数据或协议。

25.1. 使用 nmcli将特定子网的流量路由到不同的默认网关

您可以使用基于策略的路由为来自特定子网的流量配置不同的默认网关。例如,您可以将 RHEL 配置为默认路由,使用默认路由将所有流量路由到互联网提供商 A 。但是,从内部工作站子网接收的流量路由到供应商 B。

该流程假设以下网络拓扑:

policy based routing

先决条件

  • 系统使用 NetworkManager 来配置网络,这是默认设置。
  • 要在流程中设置的 RHEL 路由器有四个网络接口:

    • enp7s0 接口已连接到提供商 A 的网络。提供商网络中的网关 IP 为 198.51.100.2,网络使用 /30 网络掩码。
    • enp1s0 接口连接到提供商 B 的网络。提供商网络中的网关 IP 为 192.0.2.2,网络使用 /30 网络掩码。
    • enp8s0 接口已与连有内部工作站的 10.0.0.0/24 子网相连。
    • enp9s0 接口已与连有公司服务器的 203.0.113.0/24 子网相连。
  • 内部工作站子网中的主机使用 10.0.0.1 作为默认网关。在此流程中,您可以将这个 IP 地址分配给路由器的 enp8s0 网络接口。
  • 服务器子网中的主机使用 203.0.113.1 作为默认网关。在此流程中,您可以将这个 IP 地址分配给路由器的 enp9s0 网络接口。
  • firewalld 服务已启用,并处于活动状态。

步骤

  1. 将网络接口配置为供应商 A:

    # nmcli connection add type ethernet con-name Provider-A ifname enp7s0 ipv4.method manual ipv4.addresses 198.51.100.1/30 ipv4.gateway 198.51.100.2 ipv4.dns 198.51.100.200 connection.zone external

    nmcli connection add 命令创建 NetworkManager 连接配置文件。该命令使用以下选项:

    • type ethernet :定义连接类型为以太网。
    • con-name <connection_name > :设置配置集的名称。使用有意义的名称以避免混淆。
    • ifname <network_device& gt; : 设置网络接口。
    • ipv4.method manual: 允许配置静态 IP 地址。
    • ipv4.addresses & lt;IP_address&gt; / <subnet_mask > : 设置 IPv4 地址和子网掩码。
    • ipv4.gateway <IP_address > :设置默认网关地址。
    • ipv4.dns <IP_of_DNS_server > :设置 DNS 服务器的 IPv4 地址。
    • connection.zone <firewalld_zone > :将网络接口分配给定义的 firewalld 区。请注意,firewalld 会为分配给 external 区域的接口自动启用伪装。
  2. 将网络接口配置为供应商 B:

    # nmcli connection add type ethernet con-name Provider-B ifname enp1s0 ipv4.method manual ipv4.addresses 192.0.2.1/30 ipv4.routes "0.0.0.0/0 192.0.2.2 table=5000" connection.zone external

    此命令使用 ipv4.routes 参数而不是 ipv4.gateway 来设置默认网关。这需要将这个连接的默认网关分配给不同于默认的路由表(5000)。当连接被激活时,NetworkManager 会自动创建这个新的路由表。

  3. 将网络接口配置为内部工作站子网:

    # nmcli connection add type ethernet con-name Internal-Workstations ifname enp8s0 ipv4.method manual ipv4.addresses 10.0.0.1/24 ipv4.routes "10.0.0.0/24 table=5000" ipv4.routing-rules "priority 5 from 10.0.0.0/24 table 5000" connection.zone trusted

    此命令使用 ipv4.routes 参数将静态路由添加到 ID 为 5000 的路由表中。10.0.0.0/24 子网的这个静态路由使用到供应商 B 的本地网络接口的 IP 地址(192.0.2.1)来作为下一跳。

    另外,命令使用 ipv4.routing-rules 参数来添加优先级为 5 的路由规则,该规则将来自 10.0.0.0/24 子网的流量路由到表 5000。低的值具有更高的优先级。

    请注意,ipv4.routing-rules 参数的语法与 ip rule add 命令中的语法相同,但 ipv4.routing-rules 总是需要指定优先级。

  4. 将网络接口配置为服务器子网:

    # nmcli connection add type ethernet con-name Servers ifname enp9s0 ipv4.method manual ipv4.addresses 203.0.113.1/24 connection.zone trusted

验证

  1. 在内部工作站子网的 RHEL 主机上:

    1. 安装 traceroute 软件包:

      # yum install traceroute
    2. 使用 traceroute 工具显示到互联网上主机的路由:

      # traceroute redhat.com
      traceroute to redhat.com (209.132.183.105), 30 hops max, 60 byte packets
       1  10.0.0.1 (10.0.0.1)     0.337 ms  0.260 ms  0.223 ms
       2  192.0.2.1 (192.0.2.1)   0.884 ms  1.066 ms  1.248 ms
       ...

      命令的输出显示路由器通过 192.0.2.1 ,即提供商 B 的网络来发送数据包。

  2. 在服务器子网的 RHEL 主机上:

    1. 安装 traceroute 软件包:

      # yum install traceroute
    2. 使用 traceroute 工具显示到互联网上主机的路由:

      # traceroute redhat.com
      traceroute to redhat.com (209.132.183.105), 30 hops max, 60 byte packets
       1  203.0.113.1 (203.0.113.1)    2.179 ms  2.073 ms  1.944 ms
       2  198.51.100.2 (198.51.100.2)  1.868 ms  1.798 ms  1.549 ms
       ...

      命令的输出显示路由器通过 198.51.100.2 ,即供应商 A 的网络来发送数据包。

故障排除步骤

在 RHEL 路由器中:

  1. 显示规则列表:

    # ip rule list
    0:	from all lookup local
    5:	from 10.0.0.0/24 lookup 5000
    32766:	from all lookup main
    32767:	from all lookup default

    默认情况下,RHEL 包含表 localmaindefault 的规则。

  2. 显示表 5000 中的路由:

    # ip route list table 5000
    0.0.0.0/0 via 192.0.2.2 dev enp1s0 proto static metric 100
    10.0.0.0/24 dev enp8s0 proto static scope link src 192.0.2.1 metric 102
  3. 显示接口和防火墙区:

    # firewall-cmd --get-active-zones
    external
      interfaces: enp1s0 enp7s0
    trusted
      interfaces: enp8s0 enp9s0
  4. 验证 external 区是否启用了伪装:

    # firewall-cmd --info-zone=external
    external (active)
      target: default
      icmp-block-inversion: no
      interfaces: enp1s0 enp7s0
      sources:
      services: ssh
      ports:
      protocols:
      masquerade: yes
      ...

其他资源

  • nm-settings(5) 手册页
  • nmcli(1) 手册页

25.2. 使用 network RHEL 系统角色将特定子网的流量路由到不同的默认网关

您可以使用基于策略的路由为来自特定子网的流量配置不同的默认网关。例如,您可以将 RHEL 配置为默认路由,使用默认路由将所有流量路由到互联网提供商 A 。但是,从内部工作站子网接收的流量路由到供应商 B。

要在多个节点上远程配置基于策略的路由,您可以使用 network RHEL 系统角色。

此流程假设以下网络拓扑:

policy based routing

先决条件

  • 您已准备好控制节点和受管节点
  • 以可在受管主机上运行 playbook 的用户登录到控制节点。
  • 用于连接到受管节点的帐户对其具有 sudo 权限。
  • 受管节点使用 NetworkManagerfirewalld 服务。
  • 您要配置的受管节点有 4 个网络接口:

    • enp7s0 接口已连接到提供商 A 的网络。提供商网络中的网关 IP 为 198.51.100.2,网络使用 /30 网络掩码。
    • enp1s0 接口连接到提供商 B 的网络。提供商网络中的网关 IP 为 192.0.2.2,网络使用 /30 网络掩码。
    • enp8s0 接口已与连有内部工作站的 10.0.0.0/24 子网相连。
    • enp9s0 接口已与连有公司服务器的 203.0.113.0/24 子网相连。
  • 内部工作站子网中的主机使用 10.0.0.1 作为默认网关。在此流程中,您可以将这个 IP 地址分配给路由器的 enp8s0 网络接口。
  • 服务器子网中的主机使用 203.0.113.1 作为默认网关。在此流程中,您可以将这个 IP 地址分配给路由器的 enp9s0 网络接口。

流程

  1. 创建一个包含以下内容的 playbook 文件,如 ~/playbook.yml

    ---
    - name: Configuring policy-based routing
      hosts: managed-node-01.example.com
      tasks:
        - name: Routing traffic from a specific subnet to a different default gateway
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: Provider-A
                interface_name: enp7s0
                type: ethernet
                autoconnect: True
                ip:
                  address:
                    - 198.51.100.1/30
                  gateway4: 198.51.100.2
                  dns:
                    - 198.51.100.200
                state: up
                zone: external
    
              - name: Provider-B
                interface_name: enp1s0
                type: ethernet
                autoconnect: True
                ip:
                  address:
                    - 192.0.2.1/30
                  route:
                    - network: 0.0.0.0
                      prefix: 0
                      gateway: 192.0.2.2
                      table: 5000
                state: up
                zone: external
    
              - name: Internal-Workstations
                interface_name: enp8s0
                type: ethernet
                autoconnect: True
                ip:
                  address:
                    - 10.0.0.1/24
                  route:
                    - network: 10.0.0.0
                      prefix: 24
                      table: 5000
                  routing_rule:
                    - priority: 5
                      from: 10.0.0.0/24
                      table: 5000
                state: up
                zone: trusted
    
              - name: Servers
                interface_name: enp9s0
                type: ethernet
                autoconnect: True
                ip:
                  address:
                    - 203.0.113.1/24
                state: up
                zone: trusted
  2. 验证 playbook 语法:

    $ ansible-playbook --syntax-check ~/playbook.yml

    请注意,这个命令只验证语法,不会防止错误但有效的配置。

  3. 运行 playbook:

    $ ansible-playbook ~/playbook.yml

验证

  1. 在内部工作站子网的 RHEL 主机上:

    1. 安装 traceroute 软件包:

      # yum install traceroute
    2. 使用 traceroute 工具显示到互联网上主机的路由:

      # traceroute redhat.com
      traceroute to redhat.com (209.132.183.105), 30 hops max, 60 byte packets
       1  10.0.0.1 (10.0.0.1)     0.337 ms  0.260 ms  0.223 ms
       2  192.0.2.1 (192.0.2.1)   0.884 ms  1.066 ms  1.248 ms
       ...

      命令的输出显示路由器通过 192.0.2.1 ,即提供商 B 的网络来发送数据包。

  2. 在服务器子网的 RHEL 主机上:

    1. 安装 traceroute 软件包:

      # yum install traceroute
    2. 使用 traceroute 工具显示到互联网上主机的路由:

      # traceroute redhat.com
      traceroute to redhat.com (209.132.183.105), 30 hops max, 60 byte packets
       1  203.0.113.1 (203.0.113.1)    2.179 ms  2.073 ms  1.944 ms
       2  198.51.100.2 (198.51.100.2)  1.868 ms  1.798 ms  1.549 ms
       ...

      命令的输出显示路由器通过 198.51.100.2 ,即供应商 A 的网络来发送数据包。

  3. 在使用 RHEL 系统角色配置的 RHEL 路由器上:

    1. 显示规则列表:

      # ip rule list
      0:      from all lookup local
      5:    from 10.0.0.0/24 lookup 5000
      32766:  from all lookup main
      32767:  from all lookup default

      默认情况下,RHEL 包含表 localmaindefault 的规则。

    2. 显示表 5000 中的路由:

      # ip route list table 5000
      0.0.0.0/0 via 192.0.2.2 dev enp1s0 proto static metric 100
      10.0.0.0/24 dev enp8s0 proto static scope link src 192.0.2.1 metric 102
    3. 显示接口和防火墙区:

      # firewall-cmd --get-active-zones
      external
        interfaces: enp1s0 enp7s0
      trusted
        interfaces: enp8s0 enp9s0
    4. 验证 external 区是否启用了伪装:

      # firewall-cmd --info-zone=external
      external (active)
        target: default
        icmp-block-inversion: no
        interfaces: enp1s0 enp7s0
        sources:
        services: ssh
        ports:
        protocols:
        masquerade: yes
        ...

其它资源

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件
  • /usr/share/doc/rhel-system-roles/network/ directory

25.3. 使用旧网络脚本时,涉及基于策略的路由的配置文件概述

如果您使用旧的网络脚本而不是 NetworkManager 配置网络,您也可以配置基于策略的路由。

注意

使用 network-scripts 软件包提供的旧网络脚本来配置网络已在 RHEL 8 中被弃用。使用 NetworkManager 配置基于策略的路由。例如,请参阅 使用 nmcli 将来自特定子网的流量路由到不同的默认网关

使用旧的网络脚本时,以下配置文件会涉及基于策略的路由:

  • /etc/sysconfig/network-scripts/route-interface :此文件定义 IPv4 路由。使用 table 选项来指定路由表。例如:

    192.0.2.0/24 via 198.51.100.1 table 1
    203.0.113.0/24 via 198.51.100.2 table 2
  • /etc/sysconfig/network-scripts/route6-interface :此文件定义 IPv6 路由。
  • /etc/sysconfig/network-scripts/rule-interface :此文件定义内核将流量路由到特定路由表的 IPv4 源网络的规则。例如:

    from 192.0.2.0/24 lookup 1
    from 203.0.113.0/24 lookup 2
  • /etc/sysconfig/network-scripts/rule6-interface :此文件定义内核将流量路由到特定路由表的 IPv6 源网络的规则。
  • /etc/iproute2/rt_tables :如果您想要使用名称而不是数字来引用特定的路由表,这个文件定义了映射。例如:

    1     Provider_A
    2     Provider_B

其他资源

  • ip-route(8) 手册页
  • ip-rule(8) 手册页

25.4. 使用旧的网络脚本将来自特定子网的流量路由到不同的默认网关

您可以使用基于策略的路由为来自特定子网的流量配置不同的默认网关。例如,您可以将 RHEL 配置为默认路由,使用默认路由将所有流量路由到互联网提供商 A 。但是,从内部工作站子网接收的流量路由到供应商 B。

重要

使用 network-scripts 软件包提供的旧网络脚本来配置网络已在 RHEL 8 中被弃用。只有在主机上使用旧的网络脚本而不是 NetworkManager 时,才按照以下步骤操作。如果您使用 NetworkManager 管理网络设置,请参阅 使用 nmcli 将来自特定子网的流量路由到不同的默认网关

该流程假设以下网络拓扑:

policy based routing

注意

旧的网络脚本会按照字母顺序处理配置文件。因此,您必须为配置文件命名,确保当依赖接口需要时,用于其他接口的规则和路由的接口会被启动。要实现正确的顺序,这个流程使用 ifcfg-*route-*rules-* 文件中的数字。

前提条件

  • NetworkManager 软件包未安装,或者 NetworkManager 服务被禁用。
  • network-scripts 软件包已安装。
  • 要在流程中设置的 RHEL 路由器有四个网络接口:

    • enp7s0 接口已连接到提供商 A 的网络。提供商网络中的网关 IP 为 198.51.100.2,网络使用 /30 网络掩码。
    • enp1s0 接口连接到提供商 B 的网络。提供商网络中的网关 IP 为 192.0.2.2,网络使用 /30 网络掩码。
    • enp8s0 接口已与连有内部工作站的 10.0.0.0/24 子网相连。
    • enp9s0 接口已与连有公司服务器的 203.0.113.0/24 子网相连。
  • 内部工作站子网中的主机使用 10.0.0.1 作为默认网关。在此流程中,您可以将这个 IP 地址分配给路由器的 enp8s0 网络接口。
  • 服务器子网中的主机使用 203.0.113.1 作为默认网关。在此流程中,您可以将这个 IP 地址分配给路由器的 enp9s0 网络接口。
  • firewalld 服务已启用,并处于活动状态。

流程

  1. 通过创建包含以下内容的 /etc/sysconfig/network-scripts/ifcfg-1_Provider-A 文件将网络接口的配置添加给提供商 A:

    TYPE=Ethernet
    IPADDR=198.51.100.1
    PREFIX=30
    GATEWAY=198.51.100.2
    DNS1=198.51.100.200
    DEFROUTE=yes
    NAME=1_Provider-A
    DEVICE=enp7s0
    ONBOOT=yes
    ZONE=external

    配置文件使用以下参数:

    • TYPE=Ethernet :定义连接类型为以太网。
    • IPADDR=IP_address :设置 IPv4 地址。
    • PREFIX=subnet_mask :设置子网掩码。
    • GATEWAY=IP_address :设置默认网关地址。
    • DNS1=IP_of_DNS_server :设置 DNS 服务器的 IPv4 地址。
    • DEFROUTE=yes|no :定义连接是否为默认路由。
    • NAME=connection_name :设置连接配置文件的名称。使用有意义的名称以避免混淆。
    • DEVICE=network_device :设置网络接口。
    • ONBOOT=yes :定义 RHEL 在系统引导时启动此连接。
    • ZONE=firewalld_zone :将网络接口分配给定义的 firewalld 区域。请注意,firewalld 会为分配给 external 区域的接口自动启用伪装。
  2. 为供应商 B 添加网络接口配置:

    1. 使用以下内容创建 /etc/sysconfig/network-scripts/ifcfg-2_Provider-B 文件:

      TYPE=Ethernet
      IPADDR=192.0.2.1
      PREFIX=30
      DEFROUTE=no
      NAME=2_Provider-B
      DEVICE=enp1s0
      ONBOOT=yes
      ZONE=external

      请注意,这个接口的配置文件不包含默认的网关设置。

    2. 2_Provider-B 连接的网关分配给单独的路由表。因此,使用以下内容创建 /etc/sysconfig/network-scripts/route-2_Provider-B 文件:

      0.0.0.0/0 via 192.0.2.2 table 5000

      此条目将通过这个网关路由的所有子网的网关和流量分配给表 5000

  3. 为内部工作站子网创建网络接口配置:

    1. 使用以下内容创建 /etc/sysconfig/network-scripts/ifcfg-3_Internal-Workstations 文件:

      TYPE=Ethernet
      IPADDR=10.0.0.1
      PREFIX=24
      DEFROUTE=no
      NAME=3_Internal-Workstations
      DEVICE=enp8s0
      ONBOOT=yes
      ZONE=internal
    2. 为内部工作站子网添加路由规则配置。因此,使用以下内容创建 /etc/sysconfig/network-scripts/rule-3_Internal-Workstations 文件:

      pri 5 from 10.0.0.0/24 table 5000

      此配置定义了优先级为 5 的路由规则,该规则将来自 10.0.0.0/24 子网的所有流量路由到表 5000。低的值具有更高的优先级。